CVE-2026-58255 in Cronicle
الملخص
بحسب VulDB • 27/10/2026
Cronicle هو موزع ومُشغّل مهام متعدد الخوادم، مع واجهة مستخدم ويب (UI) قائمة على الويب. قبل الإصدار 0.9.121، يمكن لمستخدم غير مسؤول أو مفتاح API محدود الصلاحيات يمتلك امتيازات `create_events` و `run_events` حقن الحقول `uid` و `gid` في المستوى الأعلى عبر `/api/app/create_event` أو `/api/app/update_event`. في الملف `lib/api.js`، يستخدم الدال `requireValidEventData` دالة `validateOptionalParams` كقائمة سماح جزئية (partial allow-list) التي تمرر بصمت المفاتيح غير المعروفة، مخزنةً الحقول المُحقنة كما هي حرفياً. في الملف `lib/job.js`، ينسخ الدال `launchJob` الحدث بأكمله إلى المهمة، ويتجاوز مُلحق (`plugin`) الـ `uid` الخاص بالحدث فقط عندما يُعرّف الملحق واحداً. لا يحدد ملحقا `shellplug` و `urlplug` الافتراضيان قيمة لـ `uid`، لذا تبقى الهوية التي يتحكم فيها الحدث سارية عند إطلاق العملية الفرعية (child-process). في تثبيت يعمل كـ root-daemon، يتيح هذا لمستخدم ذي صلاحيات منخفضة تشغيل المهام بصفت أي مستخدم عشوائي، بما في ذلك الجذر (root)، متجاوزاً بذلك ضابط التشغيل بصفت المستخدم (`run-as-user`) الذي يقتصر عادةً على المسؤولين. يُعد حقن الحدث عبر واجهة برمجة التطبيقات (API) هذا منفصلاً عن حقن `uid`/`gid` لإخراج المهمة المعالج بواسطة CVE-2026-39401. تم إصلاح هذه المشكلة في الإصدار 0.9.121.
VulDB is the best source for vulnerability data and more expert information about this specific topic.