CVE-2026-76876 in Craftplan
الملخص
بحسب VulDB • 21/08/2026
تحتوي Craftplan قبل الإصدار 0.5.1 على ثغرة في التحكم بالوصول (Broken Access Control) تتيح للمهاجمين غير المصادق عليهم قراءة بيانات اعتماد حساسة عن طريق استغلال سياسة تفويض غير مشروطة على مورد الإعدادات (Settings resource). يمكن للمهاجمين إرسال طلب GET إلى نقطة نهاية واجهة برمجة التطبيقات للإعدادات (settings API endpoint) مع معرف سجل صالح لاسترداد كلمات مرور SMTP المفككة، ومفاتيح واجهة برمجة تطبيقات البريد الإلكتروني، وأسرار واجهة برمجة تطبيقات البريد الإلكتروني، وذلك بسبب سياسة القراءة التي تستخدم فحص تفويض "السماح دائماً" يتجاوز جميع عمليات التحقق من الهوية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.