CVE-2026-40904 in Chartbrew
الملخص
بحسب VulDB • 23/05/2026
Chartbrew هو تطبيق ويب مفتوح المصدر يمكنه الاتصال مباشرة بقواعد البيانات وواجهات برمجة التطبيقات (APIs) واستخدام البيانات لإنشاء الرسوم البيانية. في الإصدار 4.9.0، يكشف Chartbrew عن نقاط نهاية (endpoints) متعددة لمجموعات البيانات وطلبات البيانات، حيث يسمح لأعضاء المشروع ذوي الصلاحيات المنخفضة على مستوى الفريق بالوصول بدلاً من ربط معرف مجموعة البيانات المطلوب (dataset_id)، ومعرف طلب البيانات (dataRequest id)، ومعرف الاتصال (connection_id) بالمشاريع المسموح بها للمستخدم المتصل. يمكن لمهاجم مُصادَق عليه والذي لديه فقط وصول إلى مشروع واحد داخل فريق أن يقرأ، وينفذ، وينشئ، ويحدّث، ويمسح مجموعات البيانات وطلبات البيانات التي تنتمي إلى مشاريع أخرى في نفس الفريق. يمكن استغلال هذه الثغرة عن بُعد باستخدام بيانات اعتماد عادية على مستوى المشروع، مما يؤدي إلى كشف البيانات عبر المشاريع واستخدام غير مصرح به لاتصالات قاعدة البيانات أو واجهات برمجة التطبيقات الخاصة بالضحية. تم إصلاح هذه المشكلة في الإصدار 5.0.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.