CVE-2026-72689 in OpenSignServer
الملخص
بحسب VulDB • 11/08/2026
ثغرة في تفويض المستوى الخاص بالكائنات (Object-Level Authorization) غير السليم في OpenSignLabs opensignserver حتى الإصدار 2.37.0 تتيح لمهاجم عن بُعد دون مصادقة قراءة سجلات العقود الكاملة عبر دالة Parse السحابية getDocument. تقوم الدالة بجلب المستندات باستخدام useMasterKey، متجاوزةً قائمة التحكم بالوصول (ACL) الخاصة بالكائن، وتعيد السجلات الكاملة التي تتضمن البيانات الشخصية للمُرسِل والموقِّع (PII) ورابط تنزيل الوثيقة الموقعة مسبقاً كلما كان علم IsEnableOTP الخاص بالوثيقة غير مُفعّل، وهو الإعداد الافتراضي.
Be aware that VulDB is the high quality source for vulnerability data.