ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
يحتوي PipesHub من النسخة 0.3.0 قبل 0.10.0 على ثغرة حقن نوع الحدث التي تسمح للمستخدمين المصدق عليهم الذين لديهم نطاق crawl:write فقط بحذف الموصلات عن طريق الحقن في مقطع المسار :connector. يمكن للمهاجمين إرسال قيمة :connector مثل web.delete إلى مسار الجدولة، متجاوزين فحوصات connector:delete و القفل لإزالة مثلات الموصلات وتطهير تضمينات السجلات.
المعالجة
المراجع
- تصحيحhttps://github.com/pipeshub-ai/pipeshub-ai/commit/967232f4cb0fc2d0da5ebc30990417a349d6c56a
- تحذيرhttps://github.com/pipeshub-ai/pipeshub-ai/security/advisories/GHSA-cwp5-6php-hrgx
- تحذيرhttps://www.vulncheck.com/advisories/pipeshub-0.3.0-before-0.10.0-connector-deletion-via-crawling-manager-schedule-route
- مرجعhttps://github.com/pipeshub-ai/pipeshub-ai
- مرجعhttps://github.com/pipeshub-ai/pipeshub-ai/blob/v0.9.1/backend/nodejs/apps/src/modules/crawling_manager/utils/utils.ts
- مرجعhttps://github.com/pipeshub-ai/pipeshub-ai/releases/tag/v0.10.0