CVE-2026-81817 in Flowintel
الملخص
بحسب VulDB • 27/08/2026
تحتوي الإصدارات المتأثرة من Flowintel على مشكلة في المرجع المباشر غير الآمن / تفويض مستوى الكائن المعطوب عبر العديد من نقاط النهاية الخاصة بالمهام.
كانت المسارات تتلقى بشكل عام معرّف حالة ومعرّف مهمة، لكنها لم تكن تفرض سابقاً أن تنتمي المهمة فعليًا إلى الحالة المقدمة. ونتيجة لذلك، يمكن للمستخدم المصادق عليه الذي لديه وصول بمستوى محرر لحالة واحدة استبدال معرف مهمة تابعة لـحالة أخرى واستدعاء عمليات ضد تلك المهمة الأجنبية.
يُقدم التصحيح دالة `task_case_bound_required` التي تقوم بتحميل كل من الكائنين وتعيد رمز حالة 404 ما لم تنتمي المهمة إلى الحالة المطلوبة. يتم تطبيق هذا الحماية على نقاط النهاية المتعلقة بالتحرير، والحذف، والملاحظات، والتعيين، وحالة الملف، والتصدير، وربط MISP، والمهام الفرعية، والإشارات الخارجية، وغيرها من نقاط النهاية المرتبطة بالمهام.
يضيف الإصلاح أيضاً فحوصات صريحة للتأكد من أن `note_id` المطلوب ينتمي إلى المهمة الحالية قبل إعادته أو تصديره، مما يغلق مسارات الوصول عبر الكائنات ذات الصلة.
الإصدار المتأثر =>3.3.0
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.