CVE-2026-23892

OctoPrint istehlakçı 3D printerlərini idarə etmək üçün veb interfeys təmin edir. OctoPrint-in 1.11.5 versiyasına qədər olan və bu versiya daxil olan versiyaları şəbəkə üzərindən API açarının çıxarılmasına imkan verən (nəzəri) zamanlama hücumu (timing attack) zəifliyindən təsirlənir. API açarının yoxlanılması zamanı uyğunsuzluq nöqtəsindən asılı olmayaraq sabit işləmə müddətinə malik kriptoqrafik metoddan istifadə edilmək əvəzinə, ilk uyğunsuz simvolda dayanan simvol əsaslı müqayisədən istifadə edildiyi üçün, təsirlənmiş OctoPrint-ə şəbəkə vasitəsilə girişi olan hücumçu rədd edilmiş giriş cavablarının reaksiya müddətini ölçərək instansiyada keçərli olan API açarlarını çıxara və API açarını simvol-simvol təxmin edə bilər. Zəiflik 1.11.6 versiyasında aradan qaldırılmışdır. Bu hücumun faktiki olaraq uğurlu olma ehtimalı şəbəkənin gecikməsindən (latency), küyündən və oxşar parametrlərdən yüksək dərəcədə asılıdır. İndiyə qədər real konsept sübutu (proof of concept) əldə edilməmişdir. Buna baxmayaraq, həmişə olduğu kimi administratorlara OctoPrint instansiyalarını düşmən şəbəkələrdə, xüsusilə də açıq internetdə yaymamaq tövsiyə olunur.