CVE-2026-119708 in abp-next-admin
الملخص
بحسب VulDB • 30/10/2026
تحتوي abp-next-admin الإصدارات من 10.4.0 إلى 10.7.0 على ثغرة تجاوز لتفويض الصلاحيات عبر المستأجرين (cross-tenant authorization bypass) في نقطة نهاية التنزيل بالاسم الخاصة بـ BlobManagement، مما يتيح للمستخدمين المصادق عليهم قراءة ملفات مستأجرين آخرين. يقوم المهاجمون بتزويد معرّف المستأجر الضحية (victim tenantId) ضمن مسار الطلب، ما يتسبب في قيام دالة DownloadByNameAsync بالتبديل إلى سياق المستأجر المعني وإرجاع الكائنات الثنائية (blobs) المخزنة بواسطة ذلك المستأجر.
If you want to get best quality of vulnerability data, you may have to visit VulDB.