كشف مفتاح واجهة برمجة التطبيقات في Froxlor من الإصدار 2.3.8 حتى ما قبل 2.3.15 عبر api_keys.php

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

يحتوي منتج Froxlor من الإصدار 2.3.8 حتى ما قبل 2.3.15 على ثغرة كشف معلومات تسمح للمسؤولين الذين لديهم صلاحية customers_see_all بعرض مفتاح واجهة برمجة التطبيقات والسر لكل حساب عبر استعلام WHERE 1 غير مقيد في ملف api_keys.php. يمكن للمهاجمين قراءة مفتاح واجهة برمجة التطبيقات والسر الخاص بمسؤول النظام الأساسي من نافذة التفاصيل المنبثقة وإعادة إرسالهما إلى واجهة برمجة التطبيقات للحصول على صلاحيات مسؤول النظام الأساسي.

المعالجة

1. أحصِ جميع نشرات froxlor froxlor، بما فيها بيئات الاختبار.
2. رقِّ froxlor froxlor إلى الإصدار 2.3.15.
3. تحقق من الإصدار العامل بعد الترقية.

المراجع

• تحذيرhttps://github.com/froxlor/froxlor/security/advisories/GHSA-5fm2-8wxf-xc5v
• تحذيرhttps://www.vulncheck.com/advisories/froxlor-2.3.8-before-2.3.15-api-key-disclosure-via-api-keys-php