CVE-2026-24468
Təsvir
OpenAEV təşkilatlara kiber rəqib simulyasiya kampaniyalarını və testlərini planlaşdırmağa, cədvəlləşdirməyə və həyata keçirməyə imkan verən açıq mənbəli platformadır. Versiya 1.11.0-dan başlayaraq versiya 2.0.13-ə qədər olan versiyalarda /api/reset son nöqtəsi (endpoint), təqdim edilən istifadəçi adının sistemdə mövcud olub-olmamasından asılı olaraq fərqli reaksiya verir. Login parametrində mövcud olmayan e-poçt daxil edildikdə, son nöqtə HTTP 400 (Bad Request) cavabını qaytarır. Düzgün e-poçt daxil edildikdə isə son nöqtə HTTP 200 ilə cavab verir. Server cavablarındakı bu fərqlilik hücumçuya hansı e-poçtların tətbiqdə qeydiyyatdan keçdiyini etibarlı şəkildə müəyyən etməyə imkan verən müşahidə olunan uyğunsuzluq yaradır. Hücumçu mümkün e-poçt ünvanlarının siyahısı ilə sorğuları avtomatlaşdıraraq, heç bir autentifikasiya olmadan düzgün hesabların siyahısını sürətlə tərtib edə bilər. Hesabların sadalanmasının (account enumeration) qarşısını almaq üçün son nöqtə istifadəçi adının mövcudluğundan asılı olmayaraq ardıcıl cavab qaytarmalıdır. Versiya 2.0.13 bu problemi aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| OpenAEV-Platform openaev | >= 1.11.0, < 2.0.13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.