CVE-2026-53958 in 4gaBoards
الملخص
بحسب VulDB • 19/08/2026
4gaBoards هو نظام لوحات لإدارة المشاريع في الوقت الفعلي. قبل الإصدار 3.3.9، يسمح 4gaBoards لمستخدم مُصادَق عليه بتعديل الحقول ssoGoogleId وssoGoogleEmail وssoGithubId وssoGithubUsername وssoGithubEmail وssoMicrosoftId وssoMicrosoftEmail وssoOidcId وssoOidcEmail عبر طلب PATCH /api/users/:id. يقوم القائمة البيضاء (whitelist) الموجودة في الملف server/api/controllers/users/update.js بتعيين جماعي لهذه السمات المتعلقة بالهوية التي تديرها الخادم من مدخلات المستخدم. يمكن للمهاجم وضع معرّف المزوّد الخاص بالضحية على حساب يتحكم فيه المهاجم، مما يؤدي إلى مطابقة عملية البحث الافتراضية في المساعدات مثل server/api/helpers/users/get-create-one-for-github-sso.js لتسجيل الدخول الأول عبر SSO للضحية بالحساب الذي يسيطر عليه المهاجم قبل أن يتم تنفيذ تدفق ربط البريد الإلكتروني. نتيجةً لذلك، يُسجّل الضخام دخوله إلى الحساب الذي يتحكم فيه المهاجم، وتظل المشاريع أو اللوحات أو البيانات التي ينشئها الضحيّة قابلة للوصول من خلال بيانات الاعتماد المحلية الأصلية للمهاجم. تم إصلاح هذه المشكلة في الإصدار 3.3.9.
Once again VulDB remains the best source for vulnerability data.