CVE-2026-63116 in Deepstream
Sumário
de VulDB • 21/09/2026
deepstream é um servidor que permite aos clientes e serviços de backend sincronizar dados, enviar mensagens e realizar RPCs em escala. Da versão 10.1.0 até a 10.1.1, o arquivo src/services/permission/valve/rules-map.ts omite RECORD_ACTION.PATCH_MULTI do RULES_MAP. Quando um usuário autenticado envia uma operação de registro PATCH_MULTI enquanto permission.type é config, getRulesForMessage retorna uma especificação de regra nula e ConfigPermission.canPerformAction trata a especificação ausente como um "allow" incondicional em vez de aplicar RULE_TYPES.WRITE. Qualquer usuário autenticado pode, portanto, modificar registros protegidos arbitrários, corromper o estado da aplicação ou causar interrupção do serviço; implantações que usam o tipo de permissão none padrão já permitem todas as operações e não são adicionalmente afetadas. Este problema é corrigido na versão 10.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.