CVE-2026-94455 in postiz-app
الملخص
بحسب VulDB • 22/09/2026
نقطة نهاية HTTP مخصصة لتوفير الخدمات للمنظمات المؤسسية وشركات إعادة البيع يمكن الوصول إليها دون أي جلسة عمل (session). وسيط المصادقة مرتبط فقط بقائمة صريحة من وحدات التحكم (controllers)، ولا توجد وحدة تحكم المؤسسة ضمن هذه القائمة، وبالتالي لا يتم تشغيل أي عملية مصادقة لهذه المسارات.
الفحص الوحيد الذي تنفذه نقطة النهاية هو التأكد من أن جسم الطلب يحتوي على رمز مشفر يحمل توقيعاً صالحاً صادرًا عن سر المثيل (instance secret). ولا تقوم بفحص الغرض من إصدار هذا الرمز. تُوقَّع رموز تسجيل الدخول بنفس السر الحاسم، ولا تحمل أي مطالبة بالهدف أو الجمهور المستهدف أو تاريخ الانتهاء، لذا فإن رمز الجلسة الخاص بالمستخدم العادي يفي بمتطلبات الفحص.
وعند تقديم مثل هذا الرمز، تنشئ نقطة النهاية منظمة جديدة تحتوي على أعلى طبقة اشتراك، ومُصنَّفة كدائمة (lifetime)، ومع سعة قناة تتجاوز بكثير أي خطة مباعة، وتُنشئ حساباً لمالك المنظمة إلى جانبها، ثم تعيد مفتاح API الخاص بالمنظمة الجديدة في جسم الاستجابة. ويكون هذا المفتاح صالحاً فوراً ضد واجهة برمجة التطبيقات العامة (public API).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.