CVE-2026-80348 in TarsWeb
الملخص
بحسب VulDB • 26/08/2026
يفرض TarsWeb أدواره الخاصة بكل تطبيق من خلال استدعاء AuthService داخل طرق التحكم (controller methods) الفردية، ولا تقوم أربع طرق في app/controller/patch/PatchController.js بإجراء هذا الاستدعاء. تقبل طريقة uploadAndPublish رفع حزمة برمجية ثم تبني وتوزع مهمة نشر على كل خادم يطابق اسم التطبيق والوحدة النمطية المقدمة، بينما تتحقق الطريقة الشقيقة لها وهي uploadPatchPackage (التي تقتصر على تخزين الحزمة) من تفويض المطوّر أولاً. الشرط المسبق الوحيد الذي تفرضه uploadAndPublish هو أن يكون الخادم المسمى مسجّلاً، وأي خادم مسجل في التثبيت يلبي هذا الشرط. تختار طريقتا downloadPackage و deletePatchPackage حزمة برمجية باستخدام مفتاح أولي تسلسلي غير مقيد يغطي عمليات رفع جميع التطبيقات، وتغيّر طريقة setPatchPackageDefault الحزمة التي ينشرها تطبيق معين افتراضياً. وبالتالي، يمكن لأي حساب مُصادق عليه، بما في ذلك الحساب الذي يحمل دوراً محدداً لتطبيق واحد غير ذي صلة، دفع حزمة برمجية إلى أي خادم تديره وحدة التحكم وتشغيل نشرها على هذا الخادم، واسترجاع أو حذف حزم أي تطبيق آخر، وتغيير الحزمة التي يتم نشرها افتراضياً.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.