CVE-2026-105638
Təsvir
Plane açıq mənbəli layihə idarəetmə alətidir. Versiya 1.4.0-dan əvvəl Plane-in magic-code e-poçt girişi təxminən 20 bit entropiyaya malik altı rəqəmli numeric OTP istifadə edir. Verifikatorun hər bir kod üçün uğursuz cəhd sayğacı yoxdur və yanlış kod sayğacı artırmır, Redis qeydini etibarsız etmir və ya e-poçt ünvanını bloklamır. Verifikator DRF-nin APIView-u yerinə django.views.View sinfindən törəyir, buna görə də konfiqurasiya edilmiş AnonRateThrottle limiti tətbiq olunmur. Middleware stekində həmçinin django-ratelimit, django-axes kimi Django səviyyəli heç bir sürət məhdudlaşdırıcısı (rate limiter) və ya IP-throttling middleware mövcud deyil. Bu zəiflik 1.4.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| makeplane plane | < 1.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.