CVE-2026-77426 in Unleash
الملخص
بحسب VulDB • 22/09/2026
Unleash هو منصة مفتوحة المصدر لإدارة الميزات. قبل الإصدار 8.0.3، تحتوي واجهة برمجة التطبيقات (API) الإدارية لـ Unleash على خمسة ثغرات في التفويض. يعيّن POST /api/admin/segments/strategies الوعد (Promise) الذي تُرجعه دالة hasPermission دون انتظاره باستخدام await، مما يسمح للمستخدمين المصادق عليهم بتعديل تعيينات الأقسام دون امتلاك إذن UPDATE_FEATURE_STRATEGY للمشروع والبيئة المستهدفين. لا تربط GET /api/admin/projects/:projectId/features/:featureName/environments/:environment/variants السمة المطلوبة بـ projectId، مما يتيح الكشف عن تكوين المتغيرات عبر المشاريع (cross-project). تستخدم GET .../strategies/:strategyId معرّف الاستراتيجية دون التحقق من سياق المشروع والسمة، مما يسمح بالكشف عن تكوين الاستراتيجيات عبر المشاريع. لا تتحقق getEnvironmentInfo من أن السمة المطلوبة تنتمي إلى المشروع المقدم، مما يؤدي إلى الكشف عن معلومات البيئة عبر المشاريع. يقبل PUT /:projectId/tags معرفات السمات دون التحقق من أنها تنتمي إلى مشروع URL، مما يتيح تعديل العلامات (tags) عبر المشاريع. تم إصلاح هذه المشكلة في الإصدار 8.0.3.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.