CVE-2026-32890
Təsvir
Anchorr filmlər və televiziya şouları üçün sorğular göndərmək və media serverə elementlər əlavə edildikdə bildirişlər almaq üçün nəzərdə tutulmuş bir Discord botudur. Versiya 1.4.1 və daha aşağı versiyalarda, veb idarəetmə panelinin User Mapping açılan siyahısındakı saxlanılmış saytlararası skriptinq (XSS) boşluğu, konfiqurasiya edilmiş gildiyadakı hər hansı imtiyazsız Discord istifadəçisinə Anchorr administratorunun brauzerində ixtiyari JavaScript kodunu icra etməyə imkan verir. Bunu GET /api/config son nöqtəsi ilə birləşdirərək (hansı ki, bütün gizli məlumatları açıq mətndə qaytarır), hücumçu Anchorr-ın özünə heç bir autentifikasiya olmadan DISCORD_TOKEN, JELLYFIN_API_KEY, JELLYSEERR_API_KEY, JWT_SECRET, WEBHOOK_SECRET və bcrypt parol heşləri daxil olmaqla, Anchorr-da saxlanılan bütün etibarnamələri sızdıra bilər. Bu problem 1.4.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openvessl anchorr | v ≤ 1.4.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.