ثغرة تجاوز المصادقة في Pusher ضمن Chatify للإصدارات التي تسبق 1.6.4 عبر نقطة النهاية \/chat\/auth

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي Chatify للإصدارات التي تسبق 1.6.4 على ثغرة تجاوز المصادقة في نقطة نهاية مصادقة قناة Pusher والتي تسمح للمستخدمين الذين يملكون حسابًا مصادقًا عليه بالاشتراك في القنوات الخاصة للمستخدمين الآخرين من خلال توفير أسماء قنوات عشوائية. يمكن للمهاجمين طلب توقيع لـ private-chatify.<victim id> عبر طلب POST إلى \/chat\/auth لتلقي رسائل الضحية الخاصة الواردة والمرفقات في الوقت الفعلي.

المعالجة

1. أحصِ جميع نشرات munafio Chatify، بما فيها بيئات الاختبار.
2. رقِّ munafio Chatify إلى الإصدار 1.6.4.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تصحيحhttps://github.com/munafio/chatify/commit/e16bdb197d227aa2a66863c166bbb31c5f45bc2a
• تحذيرhttps://www.vulncheck.com/advisories/chatify-before-1.6.4-pusher-authorization-bypass-via-chat-auth-endpoint
• مرجعhttps://github.com/munafio/chatify/issues/412
• مرجعhttps://github.com/munafio/chatify/releases/tag/v1.6.4
• مرجعhttps://github.com/munafio/chatify/blob/v1.6.3/src/ChatifyMessenger.php#L101-L124
• مرجعhttps://hackmd.io/@hieund/chatify-pusher-channel-authorization-bypass
• مرجعhttps://hackmd.io/@hieund/cve-2026-120425-chatify-pusher-channel-authorization-bypass