CVE-2023-32677

Zulip unikal mövzu əsaslı ipləşdirməyə malik açıq mənbəli komanda əməkdaşlığı alətidir. Zulip administratorları Zulip-i konfiqurasiya edərək istifadəçilərin axınlara istifadəçi əlavə etmə imkanlarını məhdudlaşdıra, həmçinin istifadəçilərin təşkilata dəvət göndərmə imkanlarını ayrıca məhdudlaşdıra bilərlər. Zulip Server 6.1 və daha aşağı versiyalarda istifadəçiyə yeni istifadəçi dəvət etməyə imkan verən interfeys həm də yeni istifadəçinin dəvət olunduğu axınları təyin etməyə imkan verir — hətta dəvət edən istifadəçinin mövcud istifadəçini axınlara əlavə etmək icazəsi olmasa belə. Belə konfiqurasiya praktikada nadir olsa da, bu davranış təhlükəsizliklə bağlı nəzarətləri pozur. Bu, istifadəçiyə görmədiyi axınlara yeni istifadəçilər dəvət etməyə və ya belə ümumi icazəsi olsaydı istifadəçi əlavə edə bilməyəcəyi axınlara dəvət göndərməyə imkan vermir. Bu problem 6.2 versiyasında həll edilmişdir. İstifadəçilərə yeniləmə tövsiyə olunur. Yeniləmə imkanı olmayan istifadəçilər dəvətlərin göndərilməsini yalnız axınlara istifadəçi əlavə etmək icazəsi olan istifadəçilərlə məhdudlaşdıra bilərlər.