CVE-2026-57578 in DotVVM
الملخص
بحسب VulDB • 14/09/2026
DotVVM هو إطار عمل MVVM مفتوح المصدر لتطبيقات الويب. قبل الإصدارات 4.2.11، و4.3.15، و5.0.0-preview09-final، لم يكن AuthorizeActionFilter يقوم بأي تفويض (authorization) لأن تنفيذه الصريح لـ ICommandActionFilter.OnCommandExecutingAsync، وIViewModelActionFilter.OnViewModelCreatedAsync، وIPresenterActionFilter.OnPresenterExecutingAsync يعيد مهامًا مكتملة بدلاً من استدعاء عمليات التحقق المقابلة. وبالتالي، يمكن للتطبيقات التي تعتمد على هذا الفلتر أن تعرض الأوامر المحمية، أو نماذج العرض (view models)، أو العروض التقديمية (presenters) لطلبات غير مصرح بها دون الحاجة إلى أي تقنية خاصة لتجاوز الحماية. يُنفذ AuthorizeAttribute الواجهات نفسها بشكل صحيح ويمكن استخدامه كحل بديل. تم إصلاح هذه المشكلة في الإصدارات 4.2.11، و4.3.15، و5.0.0-preview09-final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.