CVE-2026-110737

Server push istifadə edən Vaadin tətbiqinin push son nöqtəsi (endpoint), sorğunun Origin məlumatını Access-Control-Allow-Origin cavab başlığına əks etdirir və kimlik məlumatlarına (credentials) icazə verir. Bunun səbəbi Flow-nun Atmosphere komponentini DROP_ACCESS_CONTROL_ALLOW_ORIGIN_HEADER parametrini false olaraq konfiqurasiya etməsi və onun CorsInterceptor hissəsinin sorğuda olan hər hansı Origin məlumatını təkrarlamasıdır. Buna görə də, istənilən mənşəli (origin) səhifə həmin son nöqtəyə istifadəçinin kukiləri ilə çarpaz mənşəli (cross origin) sorğu göndərə və cavabı oxuya bilər, lakin faydalı məlumatların oxunması üçün həmin sessiyanın push identifikatoru da tələb olunur. @Push istifadə etməyən tətbiqlər və WebSocket nəqli belə bir problemdən təsirlənmir. Bu davranış Yanvar 2015-ci ildə tətbiq edilmişdir və bütün Flow versiyalarında, həmçinin push funksiyasının əlavə edildiyi Vaadin Framework 7.1.0 versiyasından etibarən mövcuddur. Təsirə məruz qalan versiyalardan istifadə edənlər aşağıdakı tədbirləri görməli və ya yeniləməni həyata keçirməlidirlər. Problemin həll edildiyi buraxılışlara aşağıdakılar daxildir: Məhsul versiyası Vaadin 14.14.0 - 14.14.7 Vaadin 23.6.0 - 23.6.16 Vaadin 24.4.0 - 24.4.25 Vaadin 24.5.0 - 24.5.15 Vaadin 24.6.0 - 24.6.13 Vaadin 24.7.0 - 24.7.16 Vaadin 24.8.0 - 24.8.17 Vaadin 24.9.0 - 24.9.23 Vaadin 24.10.0 - 24.10.11 Vaadin 25.0.0 - 25.0.13 Vaadin 25.1.0 - 25.1.13 Vaadin 25.2.0 - 25.2.10 Vaadin 25.3.0 - 25.3.2 Vaadin Framework 7.1.0 - 7.7.54 Vaadin Framework 8.0.0 - 8.32.1 Təhlükəsizlik tədbiri 14.14.8 versiyasına yeniləyin 23.6.17 versiyasına yeniləyin 24.4.26 versiyasına yeniləyin 24.7.17 versiyasına yeniləyin 24.7.17 versiyasına yeniləyin 24.7.17 versiyasına yeniləyin 24.9.24 versiyasına yeniləyin 24.9.24 versiyasına yeniləyin 24.10.12 versiyasına yeniləyin 25.2.11 versiyasına yeniləyin 25.2.11 versiyasına yeniləyin 25.2.11 versiyasına yeniləyin 25.3.3 versiyasına yeniləyin 7.7.55 versiyasına yeniləyin 8.32.2 versiyasına yeniləyin Nəzərə alın ki, Vaadin 10-13 və 15-22 versiyaları artıq dəstəklənmir və siz ən son 14, 23, 24 və ya 25 versiyalarına yeniləməlisiniz. com.vaadin altındakı artefaktlar Maven koordinatları / Zəif versiyalar / Düzəldilmiş versiya vaadin / 14.14.0 - 14.14.7 / >=14.14.8 vaadin / 23.6.0 - 23.6.16 / >=23.6.17 vaadin / 24.4.0 - 24.4.25 / >=24.4.26 vaadin / 24.5.0 - 24.5.15 / >=24.7.17 vaadin / 24.6.0 - 24.6.13 / >=24.7.17 vaadin / 24.7.0 - 24.7.16 / >=24.7.17 vaadin / 24.8.0 - 24.8.17 / >=24.9.24 vaadin / 24.9.0 - 24.9.23 / >=24.9.24 vaadin / 24.10.0 - 24.10.11 / >=24.10.12 vaadin / 25.0.0 - 25.0.13 / >=25.2.11 vaadin / 25.1.0 - 25.1.13 / >=25.2.11 vaadin / 25.2.0 - 25.2.10 / >=25.2.11 vaadin / 25.3.0 - 25.3.2 / >=25.3.3 vaadin-core / 14.14.0 - 14.14.7 / >=14.14.8 vaadin-core / 23.6.0 - 23.6.16 / >=23.6.17 vaadin-core / 24.4.0 - 24.4.25 / >=24.4.26 vaadin-core / 24.5.0 - 24.5.15 / >=24.7.17 vaadin-core / 24.6.0 - 24.6.13 / >=24.7.17 vaadin-core / 24.7.0 - 24.7.16 / >=24.7.17 vaadin-core / 24.8.0 - 24.8.17 / >=24.9.24 vaadin-core / 24.9.0 - 24.9.23 / >=24.9.24 vaadin-core / 24.10.0 - 24.10.11 / >=24.10.12 vaadin-core / 25.0.0 - 25.0.13 / >=25.2.11 vaadin-core / 25.1.0 - 25.1.13 / >=25.2.11 vaadin-core / 25.2.0 - 25.2.10 / >=25.2.11 vaadin-core / 25.3.0 - 25.3.2 / >=25.3.3 flow-server / 2.13.0 - 2.13.7 / >=2.13.8 flow-server / 23.6.0 - 23.6.15 / >=23.6.16 flow-server / 24.4.0 - 24.4.18 / >=24.4.19 flow-server / 24.5.0 - 24.5.17 / >=24.7.17 flow-server / 24.6.0 - 24.6.14 / >=24.7.17 flow-server / 24.7.0 - 24.7.15 / >=24.7.16 flow-server / 24.8.0 - 24.8.16 / >=24.9.24 flow-server / 24.9.0 - 24.9.28 / >=24.9.29 flow-server / 24.10.0 - 24.10.14 / >=24.10.15 flow-server / 25.0.0 - 25.0.15 / >=25.2.11 flow-server / 25.1.0 - 25.1.18 / >=25.1.19 flow-server / 25.2.0 - 25.2.12 / >=25.2.13 flow-server / 25.3.0 - 25.3.3 / >=25.3.4 vaadin-server / 7.1.0 - 7.7.54 / >=7.7.55 vaadin-server / 8.0.0 - 8.32.1 / >=8.32.2 vaadin-server-mpr-jakarta / 7.7.36 - 7.7.54 / >=7.7.55 vaadin-server-mpr-jakarta / 8.18.0 - 8.32.1 / >=8.32.2