CVE-2026-26078
Təsvir
Discourse açıq mənbəli müzakirə platformasıdır. 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarından əvvəl, `patreon_webhook_secret` sayt parametrləri boş olduqda, hücumçu açar kimi boş sətirdən istifadə edərək HMAC-MD5 hesablamaları vasitəsilə saxta etibarlı webhook imzaları yarada bilər. Sorğu gövdəsi göndərəndən məlum olduğu üçün hücumçu uyğun imza hazırlaya və ixtiyari webhook yükləmələri göndərə bilər. Bu, Patreon vəd məlumatlarının icazəsiz yaradılmasına, dəyişdirilməsinə və ya silinməsinə, habelə patron-qrup sinxronizasiyasının başladılmasına imkan verir. Bu zəiflik 2025.12.2, 2026.1.1 və 2026.2.0 versiyalarında aradan qaldırılıb. Düzəliş, webhook sirri konfiqurasiya edilmədikdə webhook sorğularını rədd edir və beləliklə, boş açarla imzanın saxtalaşdırılmasının qarşısını alır. Müvəqqəti həll yolu kimi, `patreon_webhook_secret` sayt parametrini güclü və boş olmayan bir sirr dəyəri ilə konfiqurasiya edin. Sirr boş olmadıqda, hücumçu sirri bilmədən etibarlı imzaları saxtalaşdıra bilməz.
Necə düzəltmək olar
- discourse discourse2025.12.0, 2026.1.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| discourse discourse | v < 2025.12.0, 2026.1.0 ≤ v < 2026.1.1, 2026.2.0 | 2025.12.0, 2026.1.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.