CVE-2026-26964

Windmill daxili kodlar üçün açıq mənbəli tərtibatçı platformasıdır: API-lər, fon işləri, iş axınları və istifadəçi interfeysləri. 1.634.6 və daha aşağı versiyalarda administrator olmayan istifadəçilərə yalnız iş sahəsi administratorlarının əlçatan olmalı olan Slack OAuth müştəri gizli açarlarını (client secrets) əldə etmək imkanı verilir. GET /api/w/{workspace}/workspaces/get_settings son nöqtəsi (endpoint), administrator statusundan asılı olmayaraq, hər hansı autentifikasiya olunmuş iş sahəsi üzvünə slack_oauth_client_secret dəyərini qaytarır. Administrator olmayan istifadəçilərin iş sahəsi parametrlərinin redaktə edilmiş versiyasını görməsi gözlənilən davranışdır, çünki bəzi parametrlər front-end hissəsinin düzgün çalışması üçün administrator olmayanlar üçün də zəruridir. Lakin Slack konfiqurasiyası administrator olmayanlar üçün görünən olmamalıdır. Bu, parametrinin $variable dolayı göstəricisindən istifadə edilmək əvəzinə sadə dəyər kimi saxlanıldığı və heç vaxt redaktə məntiqinə əlavə edilmədiyi köhnə bir problemdir. Bu problem 1.635.0 versiyasında aradan qaldırılmışdır.