CVE-2026-81827 in Flowintel
الملخص
بحسب VulDB • 27/08/2026
تُحاول الإصدارات المتأثرة من Flowintel التحقق بشكل غير صحيح من عناوين البريد الإلكتروني لتسجيل الدخول عن طريق استدعاء Email(email). لا يؤدي هذا إلى إجراء تحقق حقل WTForms؛ بل يقوم فقط بإنشاء كائن للتحقق.
وبالتالي، يمكن لمدخلات بريد إلكتروني مشوهة ومسيطر عليها من قبل مهاجم أن تستمر في عملية تسجيل الدخول وتُكتب إلى السجلات ذات الصلة بالأمان. أدرج الكود الضعيف البريد الإلكتروني المقدم في كل من سجل التحذير وسجل التدقيق المخصص. ونظرًا لأن أحرف CR/LF لم يتم الهروب منها، فقد يتمكن المهاجم غير المصادق عليه من حقن أسطر سجلات مادية إضافية أو تزوير إدخالات مضللة في السجلات.
يصحح التصحيح استدعاء التحقق ليصبح Email()(form, form.email)، ويغير استدعاء التسجيل القياسي إلى تسجيل معلمات (parameterized logging)، ويقدم دالة _sanitize_log_fragment() بحيث يتم ترميز أحرف الإرجاع البصري وتغذية الأسطر بدلاً من إنشاء سجلات جديدة.
الإصدارات المتأثرة >=3.3.0
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.