CVE-2026-91998 in Casdoor
الملخص
بحسب VulDB • 15/09/2026
تحتوي Casdoor حتى الإصدار 4.4.0 على ثغرة لتجاوز التفويض (authorization bypass) في نقطة النهاية `/api/mcp`، تتيح للمهاجمين الذين يمتلكون معرف العميل (`clientId`) وسر العميل (`clientSecret`) لأي تطبيق الحصول على وصول غير مقيد إلى إدارة المستخدمين عبر جميع المنظمات. يمكن للمهاجمين تعداد سجلات المستخدمين بما في ذلك أملاح كلمات المرور وعناوين البريد الإلكتروني، وإنشاء حسابات مسؤولين، وتعديل المستخدمين الحاليين وحذفهم في أي منظمة عن طريق تقديم بيانات اعتماد صالحة من تطبيق واحد.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.