CVE-2026-63116

Nome do Software Vulnerável e Versões Afetadas deepstream versão 10.1.0

Description Existe um problema onde o arquivo src/services/permission/valve/rules-map.ts omite RECORD ACTION.PATCH MULTI do RULES MAP. Quando um usuário autenticado realiza uma operação de registro PATCH MULTI enquanto o permission.type está definido como config, a função getRulesForMessage() retorna uma especificação de regra nula. Consequentemente, a função ConfigPermission.canPerformAction() trata essa especificação ausente como uma permissão incondicional em vez de aplicar RULE TYPES.WRITE. Isso permite que qualquer usuário autenticado modifique registros protegidos arbitrários, corrompa o estado da aplicação ou cause a interrupção do serviço. Implantações que utilizam o tipo de permissão padrão none não são adicionalmente afetadas.

Recommendations Atualize o deepstream para a versão 10.1.1.