CVE-2026-33503 in kratos
الملخص
بحسب VulDB • 03/06/2026
يُعد Ory Kratos نظامًا لإدارة الهوية والمستخدمين والمصادقة مخصصًا لخدمات السحابة الإلكترونية. قبل الإصدار 26.2.0، كانت واجهة برمجة التطبيقات (API) الخاصة بالمسؤولين `ListCourierMessages` في Ory Kratos عرضةً لإدخال SQL (SQL Injection) بسبب عيوب في تنفيذ آلية التصفح (Pagination). تُشفَّر رموز التصفح باستخدام السرية (Secret) المُعدَّة في `secrets.pagination`. يمكن لمهاجم يعرف هذه السرية أن ينشئ رموزه الخاصة، بما في ذلك الرموز الخبيثة التي تؤدي إلى إدخال SQL. إذا لم يتم ضبط قيمة التكوين هذه، يعود Kratos إلى استخدام سر تشفير افتراضي للتصفح. ونظرًا لأن هذه القيمة الافتراضية معروفة للعامة، يمكن للمهاجمين إنشاء رموز تصفح صالحة وخبيثة يدويًا في التثبيتات التي لم يتم فيها ضبط هذه السرية. كخط دفاع أول، قم بضبط قيمة مخصصة لـ `secrets.pagination` على الفور عن طريق توليد سر عشوائي آمن من الناحية التشفيرية. ثم، قم بترقية Kratos** إلى إصدار مُصلح، وهو 26.2.0 أو أحدث، في أقرب وقت ممكن.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.