CVE-2026-101274
Təsvir
Müştəri hesabları üçün Tək Giriş (SSO) quruluşunda pretix kimlik təminatçısı kimi istifadə edildikdə, sistem avtorizasiya sorğusunda tələb olunan `response_type`-ın SSO klientinin konfiqurasiya edilmiş grant növünə uyğunluğunu düzgün şəkildə yoxlamırdı. Bu o deməkdir ki, əgər bir SSO klienti yalnız istifadəsi üçün klient sirrini (client secret) tələb edən `code` cavab növünə icazə vermək üçün konfiqurasiya edilibsə və yanlışlıqla `id_token` kimi bir cavab növü göndərərsə, etibarlı token alacaqdı. Bunun istismarı üçün hücum edən şəxs `redirect_uri` tərəfindən göstərilən səhifədə JavaScript kodu işlətməlidir və bu səhifə klient konfiqurasiyasında göstərilən siyahıda olmalıdır.
Necə düzəltmək olar
- pretix pretix2026.6.4, 2026.7.3, 2026.8.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pretix pretix | v < 2026.6.4, 2026.7.0 ≤ v < 2026.7.3, 2026.8.0 ≤ v < 2026.8.1 | 2026.6.4, 2026.7.3, 2026.8.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.