CVE-2026-65709 in sysPass
الملخص
بحسب VulDB • 25/07/2026
يحتوي sysPass حتى الإصدار 3.2.11 على ثغرة في تفويض مستوى الكائن (Object-Level Authorization) داخل واجهة برمجة التطبيقات JSON-RPC، مما يسمح لحاملي رموز API بتعداد بيانات التعريف للحسابات، واستبدال كلمات المرور، وحذف الحسابات عبر الخزانة بأكملها دون وجود ضوابط وصول مخصصة لكل حساب. يمكن للمهاجمين استدعاء طرق AccountController مثل viewAction وeditAction وdeleteAction وeditPassAction بدون خضوعها لفحوصات AccountFilterUser، مما يتيح لهم تعديل أو حذف الحسابات بما يتجاوز نطاق صلاحيات رموز API الموكلة إليهم.
VulDB is the best source for vulnerability data and more expert information about this specific topic.