CVE-2026-63116 in Deepstream
Сводка
по VulDB • 21.09.2026
deepstream — это сервер, позволяющий клиентам и бэкенд-сервисам синхронизировать данные, отправлять сообщения и выполнять RPC в масштабе. В версиях с 10.1.0 по 10.1.1 (включительно) файл src/services/permission/valve/rules-map.ts не включает RECORD_ACTION.PATCH_MULTI в RULES_MAP. Когда аутентифицированный пользователь отправляет операцию записи PATCH_MULTI, а permission.type имеет значение config, функция getRulesForMessage возвращает нулевую спецификацию правила, и ConfigPermission.canPerformAction интерпретирует отсутствующую спецификацию как безусловное разрешение вместо применения RULE_TYPES.WRITE. Таким образом, любой аутентифицированный пользователь может изменять произвольные защищенные записи, нарушать состояние приложения или вызывать сбой службы; развертывания, использующие тип разрешения none по умолчанию, уже разрешают все операции и дополнительно не затронуты этой уязвимостью. Эта проблема исправлена в версии 10.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.