ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي Lago حتى الإصدار 1.55.0 على ثغرة تجاوز مصادقة تسمح لمديري المؤسسات بالحصول على رموز الجلسة للحسابات الموجودة عبر طفرة acceptInvite دون التحقق من كلمة المرور. يمكن للمهاجمين دعوة بريد إلكتروني للضحية، والقبول بكلمة مرور تعسفية، وتلقي رمز JWT للوصول إلى مؤسسات الضحية، وبيانات الفوترة، ومفاتيح API، وتكاملات الدفع.
المعالجة
المراجع
- تصحيحhttps://github.com/getlago/lago-api/commit/5a9d5935b027d1db7171c7c015283d5870451305
- تصحيحhttps://github.com/getlago/lago-api/pull/6146
- تحذيرhttps://abraxaslabs.tech/research/lago-invite-ato
- تحذيرhttps://www.vulncheck.com/advisories/lago-through-1.55.0-authentication-bypass-via-acceptinvite-graphql-mutation
- مرجعhttps://github.com/getlago/lago-api
- مرجعhttps://github.com/getlago/lago-api/blob/v1.55.0/app/services/invites/accept_service.rb#L15-L16
- مرجعhttps://github.com/getlago/lago-api/blob/v1.55.0/app/services/users_service.rb#L89-L98