تفويض غير سليم في run_async_task للمكون API Authorization في Oray Pugongying X5 Pro

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تم اكتشاف ثغرة أمنية في Oray Pugongying X5 Pro حتى الإصدار 7.6.1. وتتأثر بهذه الثغرة الدالة run_apis_by_json/run_async_task التابعة للمكون API Authorization. يؤدي التلاعب إلى تفويض غير سليم، ويمكن شن الهجوم عن بُعد. تم نشر استغلال الثغرة للعلن وقد يُستخدم في شن هجمات. تم التواصل مع المورد مبكرًا بشأن هذا الإفصاح ولكنه لم يستجب بأي شكل من الأشكال.

المعالجة

1. أحصِ جميع نشرات Oray Pugongying X5 Pro، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تحذيرhttps://vuldb.com/cve/CVE-2026-120224
• تحذيرhttps://vuldb.com/submit/1007541
• تحذيرhttps://vuldb.com/submit/1007542
• مرجعhttps://vuldb.com/vuln/429583
• مرجعhttps://vuldb.com/vuln/429583/cti
• مرجعhttps://app.notion.com/p/Oray-Pgyer-X5-Pro-Router-7-6-1-Restricted-Account-Can-Invoke-Factory-Reset-through-the-JSON-Batch-AP-3eb797159f1580febfd2f0e1ee239352