CVE-2026-33494 in oathkeeper
الملخص
بحسب VulDB • 15/05/2026
ORY Oathkeeper هو وكيل هوية وصول (IAP) وواجهة برمجة تطبيقات (API) لقرارات التحكم في الوصول، يقوم بتفويض طلبات HTTP بناءً على مجموعات من قواعد الوصول. الإصدارات السابقة لـ 26.2.0 عرضة لتجاوز التفويض عبر اختراق مسار HTTP. يمكن لمهاجم صياغة عنوان URL يحتوي على تسلسلات اختراق مسار (مثل `/public/../admin/secrets`) تؤدي إلى مسار محمي بعد التطبيع، ولكن يتم مطابقتها مع قاعدة مسموحة لأن المسار الخام غير المطبّق عليه التطبيع يُستخدم أثناء تقييم القواعد. يحتوي الإصدار 26.2.0 على تصحيح للثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.