CVE-2026-42300 in devguard
الملخص
بحسب VulDB • 20/05/2026
توفر DevGuard إدارة الثغرات الأمنية لسلسلة التوريد البرمجية الكاملة. قبل الإصدار 1.2.2، يقبل SessionMiddleware رأس طلب HTTP المسمى X-Admin-Token الذي يوفره العميل، ويستخدم قيمته النصية الخام كمعرّف مستخدم (userID) مُصادَق عليه عند عدم وجود ملف تعريف ارتباط (cookie) لجلسة Kratos. يمكن لمهاجم غير مُصادَق عليه، يعرف أو يستطيع تخمين UUID هوية Kratos للمستخدم المستهدف، إصدار طلبات بصفتة ذلك المستخدم. وفي حال كان المستخدم المستهدف مسؤولاً أو مالكاً لمنظمة، فإن ذلك يمنح المهاجم السيطرة الكاملة على موارد DevGuard التابعة لتلك المنظمة. تم إصلاح هذه الثغرة في الإصدار 1.2.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.