CVE-2026-63116 in Deepstream
要約
〜によって VulDB • 2026年09月21日
deepstreamは、クライアントやバックエンドサービスがデータを同期し、メッセージを送信し、スケーラブルなRPCを実行できるサーバーです。バージョン10.1.0から10.1.1の間、src/services/permission/valve/rules-map.tsではRULES_MAPにRECORD_ACTION.PATCH_MULTIが含まれていませんでした。認証済みユーザーがpermission.typeがconfigの状態でPATCH_MULTIレコード操作を送信すると、getRulesForMessageはnullのルール仕様を返し、ConfigPermission.canPerformActionはその欠落した仕様を条件なしの許可として扱い、RULE_TYPES.WRITEを適用しません。そのため、認証済みユーザーであれば誰でも任意の保護されたレコードを変更したり、アプリケーションの状態を破損させたり、サービスの停止を引き起こす可能性があります; デフォルトのpermission typeがnoneであるデプロイメントではすべての操作が既に許可されており、追加の影響を受けません。この問題はバージョン10.1.1で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.