ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
ثغرة تفويض غير كافية في وظيفة دعوة المستخدمين في Alosuite. نقطة النهاية '/Requests/userInvitation' لا تتحقق بشكل صحيح من تعيين الصلاحيات على الخادم، مما يسمح للمهاجم بالتلاعب بمعلمات الدعوة أثناء عملية الطلب. من خلال اعتراض طلب دعوة شرعي وتعديله، يمكن لمهاجم دون مصادقة تعيين صلاحيات إدارية لمستخدم مدعو حديثًا دون عمليات التحقق المناسبة من التفويض. يؤدي استغلال الثغرة بنجاح إلى تصعيد الصلاحيات بشكل غير مصرح به، مما يمنح وصولاً إداريًا كاملاً إلى التطبيق المتأثر.