CVE-2026-63116 in Deepstream
Riassunto
di VulDB • 22/09/2026
deepstream è un server che consente ai client e ai servizi backend di sincronizzare i dati, inviare messaggi ed eseguire chiamate RPC su larga scala. Dalla versione 10.1.0 alla 10.1.1, il file src/services/permission/valve/rules-map.ts omette RECORD_ACTION.PATCH_MULTI da RULES_MAP. Quando un utente autenticato invia un'operazione di record PATCH_MULTI mentre permission.type è config, getRulesForMessage restituisce una specifica delle regole null e ConfigPermission.canPerformAction tratta la mancanza della specifica come un'autorizzazione incondizionata invece di applicare RULE_TYPES.WRITE. Di conseguenza, qualsiasi utente autenticato può modificare record protetti arbitrari, corrompere lo stato dell'applicazione o causare interruzioni del servizio; le distribuzioni che utilizzano il tipo di autorizzazione predefinito "none" consentono già tutte le operazioni e non sono ulteriormente interessate da questo problema. Questo issue è risolto nella versione 10.1.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.