CVE-2026-2836

Pingora HTTP proksi freymvorkunun standart keş açarı quruluşunda keş zəhərlənməsi (cache poisoning) boşluğu aşkar edilmişdir. Problem ondan qaynaqlanır ki, standart HTTP keş açarı tətbiqi keş açarlarını yalnız URI yolu istifadə edərək yaradır və host başlığı (authority) kimi kritik amilləri nəzərə almır. Standart tətbiqdən istifadə edən operatorlar keş zəhlənməsinə qarşı həssasdırlar və istifadəçilərə yanlış şəkildə çarpaz mənşəli (cross-origin) cavablar təqdim edilə bilər. Təsir Bu boşluq, Pingora-nın alfa proksi keşləmə funksiyasından istifadə edən və standart CacheKey tətbiqinə güvənən istifadəçilərə təsir edir. Hücumçu bundan aşağı məqsədlər üçün istifadə edə bilər: * Çarpaz tenant məlumat sızması: Multi-tenant deployment-lərdə keşi zəhərləməklə bir tenant-ın istifadəçilərinin digər tenant-dan gələn keşlənmiş cavabları almasını təmin etmək. * Keş zəhərlənməsi hücumları: Ortaq keş yazılarını zəhərləməklə legitim istifadəçilərə zərərli məzmun təqdim etmək. Cloudflare-in CDN infrastrukturu bu boşluqdan təsirlənməmişdir, çünki Cloudflare-in standart keş açarı tətbiqi keş açarının zəhərlənməsinin qarşısını almaq üçün çox sayda amildən istifadə edir və əvvəlki standart tətbiqdən heç vaxt istifadə etməmişdir. Yüngüllətmə: Pingora istifadəçilərinə təhlükəsiz olmayan standart keş açarı tətbiqini aradan qaldıran Pingora v0.8.0 və ya daha yüksək versiyaya yeniləmələri şiddətlə tövsiyə olunur. İstifadəçilər artıq Host başlığı, mənşə serverinin HTTP sxemi və keşin dəyişməsi lazım olan digər atributlar kimi müvafiq amilləri ehtiva edən öz callback funksiyalarını açıq şəkildə tətbiq etməlidirlər. Əvvəlki versiyalardan istifadə edən Pingora istifadəçiləri həmçinin bütün standart CacheKey istifadələrini silib, minimum olaraq host başlığını / authority-ni və upstream peer-in HTTP sxemini ehtiva edən öz tətbiqlərini hazırlaya bilərlər.