ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تحتوي madong-admin-saas حتى الإصدار 5.1.4 على ثغرة غياب المصادقة في واجهة برمجة تطبيقات إدارة مستأجري المنصة لأن مفتاح الوسيط 'platformapi' لا يتطابق أبدًا مع تطبيق 'platform'. يمكن للمهاجمين عن بُعد دون مصادقة استدعاء نقاط النهاية /platformapi/tenant/account و bind-plan و sync-data لسرد المستأجرين، أو إنشاءهم، أو تعديلهم، أو تعطيلهم، أو حذفهم، وربط خطط الاشتراك.
المعالجة
المراجع
- تصحيحhttps://github.com/madong-code/madong-admin-saas/commit/2a199a1523ed749c94b876bc2ae5fedf252b2e39
- تحذيرhttps://www.vulncheck.com/advisories/madong-admin-saas-through-5.1.4-missing-authentication-via-platform-tenant-management-api
- مرجعhttps://github.com/madong-code/madong-admin-saas/blob/v5.1.4/app/platform/controller/tenant/AccountController.php#L26
- مرجعhttps://github.com/madong-code/madong-admin-saas/blob/v5.1.4/config/middleware.php
- مرجعhttps://github.com/madong-code/madong-admin-saas/issues/2