CVE-2026-63116 in Deepstream
요약
\~에 의해 VulDB • 2026. 09. 21.
deepstream는 대규모로 데이터를 동기화하고 메시지를 보내며 RPC를 수행할 수 있도록 클라이언트와 백엔드 서비스를 지원하는 서버입니다. 버전 10.1.0부터 10.1.1까지, src/services/permission/valve/rules-map.ts 파일에서 RULES_MAP에 RECORD_ACTION.PATCH_MULTI가 누락되었습니다. 인증된 사용자가 permission.type이 config일 때 PATCH_MULTI 레코드 작업을 보내면 getRulesForMessage는 null 규칙 사양을 반환하며, ConfigPermission.canPerformAction은 누락된 사양을 RULE_TYPES.WRITE를 적용하는 대신 무조건적인 허용으로 처리합니다. 따라서 모든 인증된 사용자는 임의의 보호된 레코드를 수정하거나 애플리케이션 상태를 손상시키거나 서비스 중단 등을 유발할 수 있습니다. 기본 permission type이 none인 배포 환경에서는 이미 모든 작업이 허용되므로 추가적으로 영향을 받지 않습니다. 이 문제는 버전 10.1.1에서 해결되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.