CVE-2026-54569

SENAITE.CORE, SENAITE laboratuvar bilgi yönetim sistemi için temel çerçevedir. 2.0.0 ile 2.6.0 sürümleri arasında, SENAITE.CORE JSON API'si, eksik yetkilendirme ve güvenli olmayan değerlendirmeyi içeren iki istekli bir zincir aracılığıyla kimlik doğrulaması yapılmamış uzaktan kod çalıştırmaya izin verir. src/bika/lims/jsonapi/update.py içindeki update, update_many, remove, doActionFor, doActionFor_many ve getusers dahil olmak üzere durum değiştiren rotalar, saldırgan tarafından seçilen nesneleri çözümlemeden önce senaite.core: Access JSON API iznini uygulamaz. src/bika/lims/jsonapi/init.py içinde, set_fields_from_request, RecordsField ve RecordField örnekleri için ham istek değerlerini, alan mutatörü yazma izni kontrolleri yürütülmeden önce eval() işlevine geçirir. Anonim bir saldırgan, @@uuid aracılığıyla bika_setup nesne tanımlayıcısını keşfedebilir, /@@API/update adresine RejectionReasons gibi bir değer gönderebilir ve daha sonraki bir mutasyon hatası ZODB değişikliklerini geri almadan önce Zope çalışanında rastgele Python kodu çalıştırabilir. Aynı güvenli olmayan değerlendirme deseni src/senaite/core/browser/fields/record.py ve src/senaite/core/browser/fields/records.py dosyalarında da mevcuttur. Başarılı bir sömürü, laboratuvar verilerini, dosyalarını ve hesaplarını açığa çıkarabilir veya değiştirebilir ve hizmeti kesintiye uğratabilir.