CVE-2026-33472

Cryptomator bulud yaddaşı üçün açıq mənbəli klient tərəfli şifrələmə tətbiqidir. Versiya 1.19.1-də CheckHostTrustController.getAuthority() funksiyasında məntiq xətası mövcuddur və bu, hücumçuya CVE-2026-32303 üçün təhlükəsizlik düzəlişindən yan keçməyə imkan verir. Metod URI sxemini port nömrəsinə əsasən sabit şəkildə təyin edir, bu da 80 portlu HTTPS URL-lərinin HTTP URL-ləri ilə eyni authority sətrini istehsal etməsinə səbəb olur ki, bu da həm ardıcıllıq yoxlamasını, həm də HTTP blok validasiyasını sıradan çıxarır. Buluda sinxronizasiya olunmuş vault.cryptomator faylına yazı girişinə malik olan hücumçu elə bir Hub konfiqurasiyası hazırlaya bilər ki, burada avto-etibar validasiyasından keçmək üçün apiBaseUrl və authEndpoint 80 portu ilə HTTPS istifadə etsin, tokenEndpoint isə şifrələnməmiş HTTP istifadə etsin. Vault istifadəçiyə bildiriş göndərilmədən avtomatik olaraq etibarlı sayılır və şəbəkədə strateji mövqedə yerləşən hücumçu, qurban kimi Cryptomator Hub API-yə daxil olmaq üçün OAuth token mübadiləsini ələ keçirə bilər. Bu problem versiya 1.19.2-də düzəldilmişdir.