PT-2026-90544
CVE-2026-56828
·
تاريخ النشر
2026-09-11
·
تاريخ التحديث
2026-10-28
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Shopper الإصدار 2.8.0
Description
تحتوي ثلاثة مكونات إدارية في Livewire على ثغرات في التفويض تسمح لموظف يمتلك فقط صلاحيات
view users و access dashboard بتنفيذ إجراءات مميزة. يتيح هذا التفويض غير الصحيح للمهاجم تصعيد امتيازاته عن طريق منح صلاحيات عشوائية لدوره، أو إنشاء حساب مسؤول جديد بكلمة مرور مختارة، أو حذف الأدوار وتعريفات الصلاحيات، مما يؤدي إلى حجب الخدمة في نظام التحكم في الوصول القائم على الأدوار (RBAC).التفاصيل الفنية للمكونات المتأثرة هي كما يلي:
- في
packages/admin/src/Livewire/Components/Settings/Team/Permissions.php، تقوم الدالتانtogglePermission()وremovePermission()بتفويض صلاحيةview usersبشكل خاطئ بدلاً من صلاحيةaccess settingالمطلوبة. بالإضافة إلى ذلك، يقوم الملفpackages/admin/resources/views/livewire/components/settings/team/permissions.blade.phpبكشف معرفات الصلاحيات في معالجاتwire:click. - في
packages/admin/src/Livewire/SlideOvers/CreateTeamMember.php، تقبل الدالتانmount()وstore()صلاحيةview users، مما يسمح بإنشاء مسؤول تم التحقق منه مسبقاً عبر المتغيرrole id. - في
packages/admin/src/Livewire/Pages/Settings/Team/RolePermission.php، تفتقر الدالةdeleteActionإلى تفويض الإجراء وتتحقق فقط مما إذا كان يمكن إزالة الدور، بينما يتم منح الوصول إلى الصفحة عبرview users.
Recommendations
تحديث Shopper إلى الإصدار 2.8.1.
كإجراء مؤقت، قم بتقييد صلاحية
view users لتقتصر على الموظفين الموثوقين للغاية حتى يتم تطبيق التحديث.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾