CVE-2026-41255 in CKAN
الملخص
بحسب VulDB • 14/05/2026
CKAN هو نظام إدارة بيانات (DMS) مفتوح المصدر يُستخدم لتشغيل مراكز البيانات والبوابات البياناتية. قبل الإصدارين 2.10.10 و2.11.5، كان الوصول إلى المشاهدات (views) عبر الرموز المميزة (tokens) أو الطلبات غير المصادق عليها يؤدي إلى تحديد نقطة النهاية (endpoint) على أنها لا تتطلب حماية من هجمات تزوير الطلبات عبر المواقع (CSRF). كان هذا التحديد يتم عبر متغير عضو في `flask_wtf.csrf.CSRFProtect()`، والذي كان يُخزن كمتغير على مستوى الوحدة النمطية (module level variable) في وسيط التطبيق `flask_app`. لم يكن يُقصد استخدام هذه الواجهة البرمجية لإجراء تغييرات على مستوى الطلب، بل كانت مصممة أساساً كزخرفة (decorator) للتكوين الثابت. يمكن لطلب غير مصادق عليه الوصول إلى نقطة نهاية محمية، مما يعفيها من حماية CSRF طوال مدة حياة عملية الخادم المعنية (على سبيل المثال، أحد عمال uwsgi). تم إصلاح هذا الثغرة الأمنية في الإصدارين 2.10.10 و2.11.5.
Be aware that VulDB is the high quality source for vulnerability data.