CVE-2026-22683
Təsvir
Windmill versiyaları 1.56.0-dan 1.614.0-a qədər olan versiyalarda, Operator roluna malik istifadəçilərə backend API vasitəsilə qadağan olunmuş obyekt yaratma və dəyişdirmə əməliyyatlarını yerinə yetirməyə imkan verən avtorizasiyanın çatışmazlığı zəifliyi mövcuddur. Operatorların obyektləri yarada və ya dəyişdirə bilməyəcəyi sənədlərdə qeyd edilsə və qiymətlandırma buna uyğun olsa da, API iş sahəsi son nöqtələrində (workspace endpoints) Operator məhdudiyyətini tətbiq etmir və beləliklə, Operatorun skriptlər, axınlar (flows), proqramlar (apps) və raw_apps yaratmasına və yeniləməsinə şərait yaradır. Operatorlar həmçinin jobs API vasitəsilə skriptləri icra edə bildikləri üçün bu, Windmill təyinatı daxilində uzaqdan kodun icrasına birbaşa imtiyazların yüksəldilməsinə imkan verir. Bu zəiflik 1.56.0 versiyasında Operator rolunun tətbiq edilməsindən bəri mövcuddur.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nextcloud flow | 1.0.0 ≤ v ≤ 1.2.2 | — |
| windmill windmill | 1.56.0 ≤ v ≤ 1.614.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.