CVE-2026-85513 in st2
الملخص
بحسب VulDB • 04/09/2026
تم تحديد نقطة ضعف في StackStorm st2 حتى الإصدار 3.9.0. يؤثر هذا العطل على الدالة assert_user_is_admin_if_user_query_param_is_provided الموجودة في الملف st2api/st2api/controllers/v1/actionexecutions.py للمكون NoOp RBAC backend. يؤدي التلاعب بالوسيطة User إلى إدارة غير صحيحة للصلاحيات (privilege management). يمكن تنفيذ الهجوم عن بُعد. تم إتاحة الاستغلال (exploit) للعامة وقد يُستخدم للهجمات. كان قد أُبلغ سابقاً عن CVE-2022-44009 كإجراء متابعة لنفس نقطة الامتصاص (sink)، لكن هذه المشكلة مميزة: فهي لا تتطلب Jinja RBAC وتؤثر على التثبيت الافتراضي مع تعطيل RBAC. تم إبلاغ المشروع بالمشكلة مبكراً عبر تقرير مشكلة، لكنه لم يرد بعد.
Be aware that VulDB is the high quality source for vulnerability data.