CVE-2026-32301
Təsvir
Centrifugo, açıq mənbəli, miqyaslana bilən real vaxt mesajlaşma serveridir. 6.7.0 versiyasından əvvəl Centrifugo, şablon dəyişənlərindən (məs. {{tenant}}) istifadə edən dinamik JWKS endpoint URL-i ilə konfiqurasiya edildikdə Server-Side Request Forgery (SSRF) zəifliyinə məruz qalır. Autentifikasiyadan keçməmiş hücumçu, token imzası yoxlanılmadan əvvəl JWKS fetch URL-inə interpolasiya olunan zərərli iss və ya aud claim dəyəri ilə JWT yarada bilər və bu, Centrifugonun hücumçunun nəzarət etdiyi təyinat nöqtəsinə xarici HTTP sorğusu göndərməsinə səbəb olur. Bu zəiflik 6.7.0 versiyasında düzəldilib.
Necə düzəltmək olar
- centrifugal centrifugo6.7.0 və ya daha yeni versiya
- github.com/centrifugal/centrifugo/v66.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| centrifugal centrifugo | v < 6.7.0 | 6.7.0 |
| github.com/centrifugal/centrifugo/v6Go | v < 6.7.0 | 6.7.0 |
| github.com/centrifugal/centrifugoGo | v ≤ 2.4.0, Aralıq göstərilməyib | — |
| github.com/centrifugal/centrifugo/v3Go | v ≤ 3.2.3, Aralıq göstərilməyib | — |
| github.com/centrifugal/centrifugo/v4Go | v ≤ 4.1.5, Aralıq göstərilməyib | — |
| github.com/centrifugal/centrifugo/v5Go | v ≤ 5.4.9, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.