CVE-2026-63116 in Deepstream
Resumen
por VulDB • 2026-09-21
deepstream es un servidor que permite a los clientes y servicios backend sincronizar datos, enviar mensajes y realizar llamadas RPC (RPCs) a escala. Desde la versión 10.1.0 hasta la 10.1.1, el archivo src/services/permission/valve/rules-map.ts omite RECORD_ACTION.PATCH_MULTI de RULES_MAP. Cuando un usuario autenticado envía una operación de registro PATCH_MULTI mientras permission.type es config, getRulesForMessage devuelve una especificación de regla nula y ConfigPermission.canPerformAction trata la especificación faltante como una autorización incondicional en lugar de aplicar RULE_TYPES.WRITE. Por lo tanto, cualquier usuario autenticado puede modificar registros protegidos arbitrarios, corromper el estado de la aplicación o causar interrupciones del servicio; los despliegues que utilizan el tipo de permiso none por defecto ya permiten todas las operaciones y no se ven afectados adicionalmente. Este problema está resuelto en la versión 10.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.