CVE-2026-107450
Təsvir
Stump versiya 0.1.10 daxil olmaqla, updateSmartList və deleteSmartList GraphQL mutasiyaları (crates/graphql/src/mutation/smart_lists.rs) yalnız ortaq AccessSmartList icazəsindən asılıdır və hədəf siyahını Reader giriş səviyyəsində müəyyən edir (yaradıcı yoxlaması çatışmır). Həmin icazəyə malik olan istənilən autentifikasiya olunmuş istifadəçi başqa bir istifadəçinin ağıllı siyahısını (smart list) yenidən yaza, silə və ya ələ keçirə bilər. (updateSmartList funksiyası creatorId dəyərini çağıran şəxsin kimliyi ilə təyin edir və görünürlüyü PRIVATE olaraq quraraq orijinal sahibini bloklaya bilir.) QEYD: bu, crates.io-dakı graphql paketləri ilə əlaqəli deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| stumpapp Stump | v ≤ 0.1.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.