CVE-2023-40171

Dispatch açıq mənbəli təhlükəsizlik insidentlərinin idarə edilməsi alətidir. `Dispatch Plugin - Basic Authentication Provider` plagini JWT tokenini dekod etməyə çalışarkən xəta baş verdikdə, serverin cavabı xəta mesajında JWT tokenlərinin imzalanması üçün istifadə olunan JWT Secret Key-i daxil edir. Öz instansiyasına sahib olan və autentifikasiya üçün `Dispatch Plugin - Basic Authentication Provider` plaginindən istifadə edən bütün Dispatch istifadəçiləri bundan təsirlənə bilər ki, bu da onların öz instansiyasında hər hansı hesabın ələ keçirilməsinə şərait yaradır. Bu, hücumçu tərəfindən hazırlanmış JWT-ləri imzalamaq üçün gizli açardan (secret) istifadə etməklə həyata keçirilə bilər. Təsir altında olduğunuzu düşünürsünüzsə, `.env` faylındakı `DISPATCH_JWT_SECRET` mühit dəyişənində saxlanılan gizli açarı yeniləməyiniz şiddətlə tövsiyə olunur. Bu problem `20230817` buraxılışına daxil edilmiş `b1942a4319` commit-i ilə aradan qaldırılmışdır. İstifadəçilərə versiyanı yeniləmək tövsiyə olunur. Bu zəiflik üçün məlum olan heç bir alternativ həll yolu yoxdur.