CVE-2026-32881
Təsvir
ewe Gleam veb serveridir. Versiya 0.6.0-dan 3.0.4-ə qədər olan versiyalar autentifikasiyadan yan keçmə və ya saxtalaşdırılmış proxy-trust başlıqlarına qarşı həssasdır. Chunked transfer encoding trailer idarəetməsi gövdənin təhlili (parsing) zamanı bəyan edilmiş trailer sahələrini req.headers ilə birləşdirir, lakin qara siyahı yalnız 9 başlıq adını bloklayır. Zərərli müştəri bu başlıqları Trailer sahəsində bəyan edib sonuncu hissədən sonra əlavə etməklə bundan istifadə edə bilər ki, bu da request.set_header funksiyasının legitim dəyərləri (məsələn, reverse proxy tərəfindən təyin edilənləri) yenidən yazmasına səbəb olur. Bu, hücumçulara autentifikasiya məlumatlarını saxtalaşdırmağa, sessiyaları ələ keçirməyə, IP-əsaslı limitləməni (rate limiting) yan keçməyə və ya ewe.read_body çağırıldıqdan sonra başlıqları oxuyan hər hansı aşağı axın (downstream) proqram təminatında proxy-trust başlıqlarını saxtalaşdırmağa imkan verir. Bu problem 3.0.5 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- vshakitskiy ewe3.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vshakitskiy ewe | v < 3.0.5 | 3.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.