CVE-2026-63116

Yüksek

Açıklama

deepstream, istemcilerin ve arka uç servislerinin ölçeklenebilir şekilde veri senkronize etmesine, mesaj göndermesine ve RPC yapmasına olanak tanıyan bir sunucudur. 10.1.0 ile 10.1.1 sürümleri arasında, src/services/permission/valve/rules-map.ts dosyası RECORD_ACTION.PATCH_MULTI öğesini RULES_MAP içerisinden atlamaktadır. Kimliği doğrulanmış bir kullanıcı, permission.type değeri config iken bir PATCH_MULTI kayıt işlemi gönderdiğinde, getRulesForMessage null bir kural belirteci döndürür ve ConfigPermission.canPerformAction eksik belirteci, RULE_TYPES.WRITE uygulamak yerine koşulsuz bir izin olarak değerlendirir. Bu nedenle, kimliği doğrulanmış herhangi bir kullanıcı rastgele korumalı kayıtları değiştirebilir, uygulama durumunu bozabilir veya hizmet kesintisine neden olabilir; varsayılan izin türü none kullanan dağıtımlar zaten tüm işlemlere izin verdiği için ek olarak etkilenmemektedir. Bu sorun 10.1.1 sürümünde düzeltilmiştir.

ÖnemYüksek

CVSS8.8

İstismar olasılığı—

Ürün@deepstream/server

Yayın21 Eyl 2026

İlk görülme21 Eyl 2026

Zayıflık türüCWE-862Yetki denetimi eksikliği

Nasıl düzeltilir

Güncelleyin

@deepstream/server10.1.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
@deepstream/servernpm	10.1.0 ≤ v < 10.1.1	10.1.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.