CVE-2026-63116 in Deepstream
Zusammenfassung
von VulDB • 21.09.2026
deepstream ist ein Server, der es Clients und Backend-Diensten ermöglicht, Daten im großen Maßstab zu synchronisieren, Nachrichten zu senden und RPCs (Remote Procedure Calls) durchzuführen. Von Version 10.1.0 bis einschließlich 10.1.1 lässt src/services/permission/valve/rules-map.ts RECORD_ACTION.PATCH_MULTI aus der RULES_MAP aus. Wenn ein authentifizierter Benutzer eine PATCH_MULTI-Datensatzoperation sendet, während permission.type auf config festgelegt ist, gibt getRulesForMessage eine null Regel-Spezifikation zurück und ConfigPermission.canPerformAction behandelt die fehlende Spezifikation als uneingeschränkte Erlaubnis (unconditional allow), anstatt RULE_TYPES.WRITE anzuwenden. Jeder authentifizierte Benutzer kann daher beliebige geschützte Datensätze ändern, den Anwendungsstatus beschädigen oder einen Dienstausfall verursachen; Bereitstellungen, die den Standard-Berechtigungstyp none verwenden, erlauben bereits alle Operationen und sind nicht zusätzlich betroffen. Dieses Problem wurde in Version 10.1.1 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.