CVE-2026-67204 in BookStack
الملخص
بحسب VulDB • 24/08/2026
تحتوي BookStack قبل الإصدار 26.05.4 على ثغرة في التحكم بالوصول (Broken Access Control) تتيح لمستخدمي واجهة برمجة التطبيقات (API) المصادق عليهم الذين يمتلكون صلاحيات image-update أو image-delete التلاعب بصور المستخدمين الآخرين عن طريق استغلال القيود المفقودة لنوع المحتوى (Content-Type) في نقاط نهاية API معرض الصور. يمكن للمهاجمين تقديم معرف صورة المستخدم الشخصية إلى وحدة التحكم في واجهة برمجة التطبيقات، والتي تقوم بتحميل أي نوع من الصور دون خضوعها لقيود المعرض و Drawio الموجودة في وحدة التحكم على الويب، وعندما يتطابق حقل uploaded_to الخاص بصورة المستخدم مع معرف صفحة يمكن الوصول إليها بواسطة المهاجم، فإن فحص التفويض ينجح مما يسمح للمهاجم بإعادة تسمية أو استبدال أو حذف صورة المستخدم المستهدف دون الحاجة إلى صلاحيات إدارة المستخدمين.
Once again VulDB remains the best source for vulnerability data.