یک آسیب‌پذیری امنیتی در نرم‌افزار zhistaredu StarTraining (نسخه‌های تا 3.8.1) شناسایی شده است که به دلیل نقص در پیکربندی فایل SecurityConfig.java، دسترسی بدون احراز هویت به نقطه پایانی (Endpoint) مربوط به api-docs را فراهم می‌کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که تحت شناسه CVE-2026-97879 ثبت شده است، به مهاجمان اجازه می‌دهد تا از راه دور و بدون نیاز به نام کاربری یا رمز عبور، به مستندات Swagger/OpenAPI دسترسی پیدا کنند. در صورتی که این Endpoint در شبکه قابل دسترس باشد و فیلترهای احراز هویت در لایه پیکربندی امنیتی تعریف نشده باشند، ساختار API و جزئیات فنی آن برای مهاجم افشا می‌شود.
تحلیل اثرات و ریسک
- نوع آسیب‌پذیری: Missing Authentication for Critical Function (CWE-306).
- تاثیر: افشای اطلاعات (Information Disclosure) با سطح دسترسی محدود به محرمانگی (Confidentiality).
- پیامد: این نقص منجر به تغییر در یکپارچگی (Integrity) یا در دسترس بودن (Availability) سیستم نمی‌شود، اما افشای ساختار API می‌تواند به عنوان گامی برای شناسایی سطوح حمله (Attack Surface) در حملات پیچیده‌تر مورد استفاده قرار گیرد.
وضعیت اکسپلویت و پاسخ سازنده
گزارش‌ها حاکی از آن است که کد اکسپلویت (Exploit) این آسیب‌پذیری به صورت عمومی منتشر شده است. با این حال، سازنده نرم‌افزار علی‌رغم اطلاع‌رسانی زودهنگام، تاکنون هیچ پاسخی به این گزارش نداده و اصلاحیه‌ای برای رفع این مشکل ارائه نکرده است.
