A vulnerability has been found in Tencent WeKnora up to 0.3.6. Affected by this issue is the function getKnowledgeBaseForInitialization of the file internal/handler/initialization.go of the component Config API Endpoint. The manipulation of the argument kbId leads to authorization bypass. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Tencent WeKnora versions up to 0.3.6 contain an authorization bypass vulnerability in the Config API Endpoint's getKnowledgeBaseForInitialization function through manipulation of the kbId parameter. This allows remote attackers to bypass access controls and potentially access unauthorized knowledge base configurations.
تؤثر هذه الثغرة على مكون واجهة برمجة تطبيقات التكوين في Tencent WeKnora وتسمح بتجاوز آليات التفويض من خلال معالجة معامل معرف قاعدة المعرفة (kbId). تم الكشف عن الاستغلال علناً والبائع لم يستجب لإشعارات الكشف المبكر.
تحتوي إصدارات Tencent WeKnora حتى 0.3.6 على ثغرة تجاوز التفويض في نقطة نهاية واجهة برمجة التطبيقات للتكوين من خلال معالجة معامل kbId. يمكن للمهاجمين البعيدين تجاوز عناصر التحكم في الوصول والوصول المحتمل إلى تكوينات قاعدة المعرفة غير المصرح بها.
Update Tencent WeKnora to version 0.3.7 or later immediately. Implement strict input validation and authorization checks for the kbId parameter in the getKnowledgeBaseForInitialization function. Apply network segmentation to restrict access to the Config API Endpoint. Monitor access logs for suspicious kbId manipulation attempts. Consider implementing Web Application Firewall (WAF) rules to detect and block exploitation attempts.
قم بتحديث Tencent WeKnora إلى الإصدار 0.3.7 أو أحدث على الفور. قم بتطبيق التحقق الصارم من المدخلات وفحوصات التفويض لمعامل kbId في وظيفة getKnowledgeBaseForInitialization. طبق تقسيم الشبكة لتقييد الوصول إلى نقطة نهاية واجهة برمجة تطبيقات التكوين. راقب سجلات الوصول للكشف عن محاولات معالجة kbId المريبة. فكر في تطبيق قواعد جدار الحماية لتطبيقات الويب للكشف عن محاولات الاستغلال وحجبها.