CVE-2026-25050
Təsvir
Vendure açıq mənbəli headless ticarət platformasıdır. Versiya 3.5.3-dən əvvəl `NativeAuthenticationStrategy.authenticate()` metodu hücumçulara etibarlı istifadəçi adlarını (e-poçt ünvanlarını) müəyyən etməyə imkan verən zamanlama hücumuna (timing attack) qarşı həssasdır. `packages/core/src/config/auth/native-authentication-strategy.ts` faylında authenticate metodu istifadəçi tapılmadıqda dərhal cavab qaytarır. Zamanlamadakı əhəmiyyətli fərq (bcrypt üçün ~200-400ms, verilənlər bazasında tapılmama halında isə ~1-5ms) hücumçuların mövcud və mövcud olmayan hesabları etibarlı şəkildə fərqləndirməsinə şərait yaradır. Versiya 3.5.3 bu problemi aradan qaldırır.
Necə düzəltmək olar
- vendure vendure3.5.3 və ya daha yeni versiya
- @vendure/core3.5.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vendure vendure | v < 3.5.3 | 3.5.3 |
| @vendure/corenpm | v < 3.5.3 | 3.5.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.