CVE-2026-109427
Təsvir
Telegram-Stremio versiya 5.1.0 daxil olmaqla, autentifikasiya olunmuş token sahiblərinin encode_string/decode_string funksiyaları vasitəsilə dekodlaşdırılan imzalanmamış və autentifikasiya olunmamış axın ID-lərini saxtalaşdırmaqla istənilən çat mesajlarına girişinə imkan verən obyekt səviyyəli pozulmuş avtorizasiya zəifliyinə malikdir. Hücumçular ardıcıl msg_id dəyərləri yarada və ya onları sadalaya bilər, həmçinin sorğuları operatorun şəxsi Userbot hesabı vasitəsilə yönləndirmək üçün stream_handler son nöqtəsində (endpoint) qlobal bayraq təyin edərək şəxsi kanalları, qrupları və Yadda saxlanılan Mesajları (Saved Messages) üzə çıxara bilərlər; eyni zamanda, autentifikasiya olunmamış thumb_handler son nöqtəsi heç bir token yoxlaması olmadan həmin çatların kiçik şəkillərini (thumbnails) ifşa edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| weebzone Telegram-Stremio | v ≤ 5.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.