ثغرة تفويض غير صحيحة في madong-admin-saas حتى الإصدار 5.1.4 عبر /platformapi AccessTokenMiddleware

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تحتوي madong-admin-saas حتى الإصدار 5.1.4 على ثغرة تفويض غير صحيحة في AccessTokenMiddleware والتي تسمح لمستخدمي المستأجرين المصدق لهم بالوصول إلى واجهة برمجة تطبيقات إدارة المنصة في وضع المستأجرين المتعددين. يمكن للمهاجمين إعادة استخدام رمز تسجيل دخول المستأجر JWT ضد وحدات تحكم /platformapi لإنشاء حسابات مسؤول المنصة، وقراءة إعدادات قاعدة بيانات المستأجر، والسيطرة على كل مستأجر.

المعالجة

1. أحصِ جميع نشرات madong-code madong-admin-saas، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• تصحيحhttps://github.com/madong-code/madong-admin-saas/commit/2a199a1523ed749c94b876bc2ae5fedf252b2e39
• تحذيرhttps://www.vulncheck.com/advisories/madong-admin-saas-through-5.1.4-incorrect-authorization-via-platformapi-accesstokenmiddleware
• مرجعhttps://github.com/madong-code/madong-admin-saas/blob/v5.1.4/app/platform/middleware/AccessTokenMiddleware.php#L62-L73
• مرجعhttps://github.com/madong-code/madong-admin-saas/issues/2