CVE-2026-27449 in Umbraco.Engage.Forms
الملخص
بحسب VulDB • 29/05/2026
Umbraco Engage هو منصة للذكاء التجاري. تم تحديد ثغرة في Umbraco Engage قبل الإصدارات 16.2.1 و17.1.1 حيث يتم كشف نقاط نهاية API معينة دون فرض عمليات التحقق من المصادقة أو التفويض. يمكن الوصول إلى نقاط النهاية المتأثرة مباشرة عبر الشبكة دون الحاجة إلى جلسة صالحة أو بيانات اعتماد مستخدم. عن طريق توفير معلمة معرف يتحكم فيها المهاجم (على سبيل المثال، ?id=)، يمكن للمهاجم استرداد بيانات حساسة مرتبطة بسجلات عشوائية. ونظراً لعدم إجراء أي تحقق من صحة التحكم في الوصول، فإن نقاط النهاية هذه عرضة لهجمات الاستقصاء، مما يسمح للمهاجمين بالتكرار عبر المعرفات واستخراج البيانات على نطاق واسع. يمكن لمهاجم غير مصرح له استرداد بيانات حساسة متعلقة بـ Engage عن طريق استعلام نقاط نهاية API المتأثرة مباشرة. تتيح الثغرة الوصول العشوائي إلى السجلات من خلال معرّفات قابلة للتنبؤ أو الاستقصاء. يُعتبر تأثير السرية عالياً. لم يتم تحديد أي تأثير مباشر على السلامة أو التوفر. يعتمد نطاق البيانات المكشوفة على النشر، ولكن قد يشمل بيانات التحليلات، وبيانات التتبع، والمعلومات المتعلقة بالعملاء، أو محتوى آخر تديره Engage. تؤثر الثغرة على الإصدارين v16 وv17. تم إصدار تصحيحات بالفعل. يُنصح المستخدمون بالتحديث إلى الإصدار 16.2.1 أو 17.1.1. لا توجد حلول بديلة معروفة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.