إصدار Datasette 1.0a38 لإصلاح ثغرة حقن SQL في الجداول الخاصة

نظرة عامة

أصدر فريق Datasette الإصدار 1.0a38 لإصلاح ثغرة أمنية في حقن SQL تؤثر على الخوادم التي تقدم مزيجًا من الجداول العامة والخاصة في نفس قاعدة البيانات، مع تكوين الأذونات عبر نظام Datasette. كانت الثغرة تسمح للمستخدمين المصرح لهم بالوصول إلى الجداول العامة بتنفيذ استعلامات SQL خام للوصول إلى البيانات الخاصة، متجاوزين القيود المفروضة.

التفاصيل التقنية

الثغرة تنبع من إمكانية تنفيذ استعلامات SQL خام عبر واجهة برمجة التطبيقات أو واجهة المستخدم، مما يسمح بالوصول إلى جداول خاصة إذا كانت الصلاحيات مضبوطة بشكل غير صحيح. الإصلاح متاح في الإصدار 1.0a38 و0.65.3، ويُنصح المسؤولون بتعطيل صلاحية execute-sql على قواعد البيانات الحساسة كإجراء احترازي.

التأثير على المنطقة

في الشرق الأوسط، تُستخدم Datasette في مشاريع البيانات المفتوحة الحكومية والمبادرات البحثية، حيث قد تشارك بيانات عامة (مثل إحصاءات السكان) مع بيانات خاصة (مثل سجلات داخلية). هذا التكوين نادر لكنه ممكن، لذا يجب على الفرق التقنية مراجعة إعداداتهم وتطبيق التحديث فورًا.

توصيات عملية

• تحديث Datasette إلى أحدث إصدار (1.0a38 أو 0.65.3).
• تعطيل صلاحية execute-sql على قواعد البيانات التي تحتوي جداول خاصة.
• مراجعة تكوين الأذونات بانتظام لضمان عدم تعارض الجداول العامة والخاصة.

ملاحظة للمراجعة البشرية: تأكد من دقة تفاصيل الإصدار وتأثيرها على حالات الاستخدام المحلية قبل النشر.