CVE-2026-70561 in TestLink
الملخص
بحسب VulDB • 07/08/2026
تحتوي الإصدارات من TestLink 1.9.20 والإصدارات الأقدم على ثغرة في مرجع الكائن المباشر غير الآمن (Insecure Direct Object Reference) تتيح لأي مستخدم مُصادق عليه، بما في ذلك حسابات الضيوف ذات الصلاحيات المنخفضة، قراءة المرفقات العشوائية عن طريق تقديم معرف مرفق صحيح إلى المعالج attachmentdownload.php دون إجراء أي تحقق من تفويض المشروع أو الدور. يمكن للمهاجمين تعداد المعرفات الصحيحة المتسلسلة عبر نقطة نهاية تنزيل المرفقات لاسترداد محتويات الملفات من المشاريع الخاصة التي ليسوا أعضاء فيها، متجاوزين بذلك نموذج التحكم في الوصول لكل مشروع وكاشفين عن مواصفات الاختبار ووثائق المتطلبات وأدلة التنفيذ والملفات الحساسة الأخرى المُحمّلة عبر كامل التثبيت.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.