CVE-2026-28355
Təsvir
Canarytokens şəbəkədəki fəaliyyət və hərəkətləri izləməyə kömək edir. `sha-7ff0e12` versiyasından əvvəlki versiyalarda "PWA" Canarytoken-də Self Cross-Site Scripting zəifliyi mövcuddur ki, bununla da Canarytoken yaradıcısı özünə və ya linki paylaşdığı şəxsə hücum edə bilər. PWA Canarytoken yaradıcısı PWA tokeninin başlıq sahəsinə Javascript daxil edə bilər. Yaradıcı daha sonra öz Canarytoken-inin quraşdırma səhifəsinə daxil olduqda, Javascript icra olunur. Bu, bir self-XSS-dir. Hücumçu bu self-XSS ilə Canarytoken yarada və quraşdırma linkini qurbana göndərə bilər. Qurban linkə kliklədikdə Javascript icra olunacaqdır. Lakin heç bir həssas məlumat (məsələn, sessiya məlumatları) bədniyyətli aktor üçün açıqlanmayacaqdır. Bu problem artıq Canarytokens.org saytında düzəldilib. Öz serverində Canarytokens quraşdıran istifadəçilər ən son Docker imicini və ya `sha-7ff0e12`-dən sonrakı hər hansı Docker imicini yükləyərək yeniləmə edə bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| thinkst canarytokens | < sha-7ff0e12 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.