ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات واختيار البيانات لإنشاء مخططات. قبل الإصدار 5.2.3، تم توقيع رموز مشاركة المخططات وتضمينها باستخدام CB_SECRET، بما في ذلك القيم المعروفة أو الافتراضية المضمنة في المصدر وتثبيتات Docker Compose الخاصة بالمستودع. السطح المعرض للثغرة هو التحقق من رمز مشاركة المخطط وطرق الوصول إلى التصفية للمخططات الخاصة. يقوم مهاجم يعرف CB_SECRET الخاص بعملية النشر باستهداف مخطط خاص تمت مشاركته مرة واحدة على الأقل بحيث يوجد صف سياسة مشاركة، ثم يزور رمز موضوع المخطط لذلك المعرف. يسمح مفتاح التوقيع المعروف بوجود رموز مخطط صحيحة، وتقبل مسار وصول التصفية معرفات الأعداد الصحيحة المتسلسلة دون الحاجة إلى رابط مشاركة شرعي؛ تصبح صلاحية الرمز والإبطال غير فعالة بمجرد معرفة السر. يتطلب الشرط وجود سر معروف أو افتراضي صف سياسة مشاركة موجود. الحاوية الخالية التي يكون فيها CB_SECRET غير محدد خارج هذا المسار، والسر الفريد يستبعده فقط طالما ظلت القيمة مجهولة وغير قابلة للتنبؤ. يمكن لمهاجم دون مصادقة تعداد معرفات الأعداد الصحيحة وقراءة بيانات المخطط الخاص العشوائية، بما في ذلك chartData، دون امتلاك رابط مشاركة شرعي. تم إصلاح هذه المشكلة في الإصدار 5.2.3.