CVE-2026-23996

FastAPI Api Key, API açarı sistemini təmin edən backend-dən asılı olmayan kitabxana təqdim edir. Versiya 1.1.0-da verify_key() funksiyasında zamanlama ilə bağlı yan kanal zəifliyi mövcuddur. Metod təsadüfi gecikməni yalnız yoxlama uğursuz olduqda tətbiq etmişdir ki, bu da hücumçuya cavab gecikmələrini ölçərək düzgün və yanlış API açarlarını statistik olaraq fərqləndirməyə imkan verir. Kifayət qədər təkrar sorğularla rəqib key_id-nin düzgün açara uyğun gəlib-gəlmədiyini müəyyən edə bilər ki, bu da potensial olaraq brute-force və ya enumerasiya hücumlarını sürətləndirə bilər. Düzəlişdən əvvəl API açarının autentifikasiyası üçün verify_key()-dən istifadə edən bütün istifadəçilər risk altındadır. İstifadəçilər yamkı almaq üçün versiya 1.1.0-a yüksəltmə etməlidirlər. Yamkı nəticədən asılı olmayaraq bütün cavablara vahid təsadüfi gecikmə (min_delay-dən max_delay-ə qədər) tətbiq edərək zamanlama korrelyasiyasını aradan qaldırır. Bəzi alternativ həllər mövcuddur. Düzəliş tətbiq edilənə qədər bütün autentifikasiya cavablarına (uğurlu və uğursuz) tətbiq səviyyəsində sabit gecikmə və ya təsadüfi titrəmə (jitter) əlavə edin və/və ya statistik zamanlama hücumlarının mümkünlüyünü azaltmaq üçün rate limiting-dən istifadə edin.