PT-2026-89210
CVE-2026-59158
·
تاريخ النشر
2026-09-09
·
تاريخ التحديث
2026-10-27
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
nuxt-ollama الإصدارات السابقة لـ 1.3.1
Description
يتسبب خلل في التصميم في
src/module.ts في قيام الوحدة بدمج جميع الخيارات دون شرط، بما في ذلك api key ، في تكوين وقت التشغيل العام runtimeConfig.public.ollama. نظرًا لأن Nuxt يقوم بتسلسل هذا التكوين العام في حمولة HTML التي يتم تقديمها من الخادم window. NUXT ، يتم كشف مفتاح API بنص واضح لأي عميل غير مصرح له يجلب الصفحة. بالإضافة إلى ذلك، يقرأ الـ composable الخاص بمتصفح المستخدم src/runtime/composables/useOllama.ts هذا المفتاح العام ويرسله كاعتماد Authorization Bearer في طلبات Ollama من جانب المتصفح. يمكن للمهاجم سرقة هذا المفتاح من خلال طلب HTTP GET واحد، مما قد يؤدي إلى طلبات API سحابية غير مصرح بها على نفقة المشغل، أو استنفاد الحصص أو حدود المعدل، أو الوصول إلى النماذج أو المحادثات المخزنة.Recommendations
التحديث إلى الإصدار 1.3.1.
كإجراء تخفيف مؤقت، تجنب تكوين
api key في خيارات الوحدة العامة حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾