ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
تطبيق Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات واختيار البيانات لإنشاء مخططات. قبل الإصدار 5.2.3، تم تثبيت لوحة تحكم BullMQ الإدارية بدون التحقق من المصادقة. سطح الثغرة هو لوحة تحكم Bull Board/BullMQ الإدارية على الرابط /apps/queues. يصل مهاجم عن بُعد دون مصادقة إلى /apps/queues على مثيل Chartbrew حيث يتم تمكين Redis وBullMQ ولا يقوم الوكيل العكسي بحظر المسار بشكل مستقل. وثقت لوحة التحكم في إمكانية الوصول إلى الشبكة كعملية تفويض وعرضت واجهة إدارة طوابير الانتظار الخاصة بها مباشرة. يجب تمكين Redis وBullMQ ويجب أن يكون المسار قابلاً للوصول. تعتمد الإجراءات المتاحة على إصدار Bull Board المثبت وحالة طابور الانتظار، بينما تعتمد السرية على حمولة الوظيفة ومحتويات السجلات. يمكن لمستخدم دون مصادقة فحص حمولات الوظائف والسجلات المكشوفة وعندما يتم تمكينها بواسطة الإصدار المثبت وحالة الطابور، إعادة محاولة الوظائف أو حذفها أو تغيير معالجة طابور الانتظار بطريقة أخرى، مما يؤثر على السرية أو السلامة أو التوافر. تم إصلاح هذه المشكلة في الإصدار 5.2.3.