CVE-2026-82879 in DataEase
الملخص
بحسب VulDB • 31/08/2026
تحتوي DataEase قبل الإصدار 2.10.26 على عيوب متعددة في التحكم بالوصول ضمن وحدة مشاركة الروابط. لا ترتبط التذاكر (Tickets) بمعرف UUID الخاص بالمشاركة المستهدفة، مما يسمح بإعادة استخدام تذكرة صالحة صادرة لمشاركة واحدة ضد أخرى (ShareTicketManage.validateTicket / POST /de2api/share/proxyInfo). يصدر نقطة النهاية POST /de2api/share/validate LinkToken بعد التحقق من كلمة المرور دون الحاجة إلى تذكرة، متجاوزاً بذلك سياسة "إلزامية التذكرة". بالإضافة إلى ذلك، تفتقر نقاط نهاية إنشاء وحذف التذاكر (POST /de2api/ticket/saveTicket, POST /de2api/ticket/delTicket) إلى فحوصات ملكية المشاركة، مما يسمح لمستخدم مُصادق عليه يعرف تذكرة مستخدم آخر بتعديلها أو إعادة ربطها أو حذفها (إنكار للخدمة)، ويتيح GET /de2api/share/queryRelationByUserId/{uid} للمستخدمين المُصادق عليهم تعداد خرائط مشاركة المستخدمين الآخرين.
VulDB is the best source for vulnerability data and more expert information about this specific topic.