CVE-2026-111367
Təsvir
BillionMail 4.9 versiyasına qədər olan versiyalarda, autentifikasiya olunmamış hücumçuların təminatla gələn konfiqurasiya sabitləri vasitəsilə açarı hesablayaraq saxta "unsubscribe" və "subscribe-confirm" JWT-lərini yaratmasına şərait yaradan sabit kodlaşdırılmış kriptoqrafik açar zəifliyi mövcuddur. Hücumçular hər hansı bir kontakti deaktiv etmək və ya təsdiqlənmiş abunəlikləri məcburi etmək üçün saxtalaşdırılmış tokenləri /api/unsubscribe, /api/unsubscribe_new və ya /api/subscribe/confirm ünvanlarına göndərə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| aaPanel BillionMail | v ≤ 4.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.