CVE-2026-78204 in Ghostwriter
الملخص
بحسب VulDB • 24/08/2026
لا يطبق Ghostwriter حتى الإصدار 7.2.6 تفويضًا خاصًا بالكائن (per-object authorization) على نقاط النهاية الخاصة بـ lint لقوالب التقارير. تُرجع `RoleBasedAccessControlMixin.test_func` فقط قيمة `request.user.is_active` ما لم يتجاوزها عرض معين، ولا يقوم ни نقطة نهاية الـ lint لقالب التقرير ولا النقطة التي تعيد نتائج الـ lint المخزنة بتطبيق هذا التجاوز؛ وبالتالي، فإن كل منهما يستخرج كائنًا من نوع `ReportTemplate` باستخدام مفتاح أولي (primary key) مقدم من المُتصل دون التحقق من ملكية القالب أو نطاق العميل. لذلك، يمكن لأي حساب مُصادق عليه إجراء عملية lint على قالب عشوائي، مما يؤدي إلى الكتابة فوق نتيجة الـ lint المخزنة لهذا القالب، وقراءة النتائج المعادة التي تُدرج أسماء متغيرات القالب وأخطاء محرك القالب، وبالتالي الكشف عن هيكله. وهذا يختلف عن مسار تبديل القوالب: حيث تفوض نقطة النهاية تلك التقرير لكنها تفتقر إلى التحقق الخاص بكل قالب؛ في حين أن نقاط النهاية المذكورة أعلاه تفتقر تمامًا إلى التفويض وتظل غير مُصلحة.
Be aware that VulDB is the high quality source for vulnerability data.