CVE-2026-63116 in Deepstream
الملخص
بحسب VulDB • 21/09/2026
deepstream هو خادم يسمح للعملاء وخدمات الخلفية بمزامنة البيانات وإرسال الرسائل وإجراء استدعاءات الإجراءات عن بُعد (RPCs) على نطاق واسع. من الإصدار 10.1.0 حتى 10.1.1، يتجاهل الملف src/services/permission/valve/rules-map.ts قيمة RECORD_ACTION.PATCH_MULTI ضمن RULES_MAP. عندما يرسل مستخدم مُصادَق عليه عملية سجل PATCH_MULTI بينما تكون permission.type مساوية لـ config، تُعيد الدالة getRulesForMessage مواصفات قاعدة فارغة (null)، وتتعامل ConfigPermission.canPerformAction مع المواصفة المفقودة كإذن مطلق بدلاً من تطبيق RULE_TYPES.WRITE. وبالتالي، يمكن لأي مستخدم مُصادَق عليه تعديل سجلات محمية بشكل تعسفي، أو إفساد حالة التطبيق، أو التسبب في تعطيل الخدمة؛ أما التطبيقات التي تستخدم نوع الأذونات الافتراضي none فتمنح بالفعل جميع العمليات ولا تتأثر إضافياً بهذه المشكلة. تم إصلاح هذه القضية في الإصدار 10.1.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.