CVE-2026-33505

Ory Keto geniş miqyaslı icazələrin idarə edilməsi üçün açıq mənbəli avtorizasiya serveridir. Versiya 26.2.0-dək olan Ory Keto-da GetRelationships API səhifələmənin tətbiqindəki çatışmazlıqlara görə SQL inyeksiyasına qarşı həssasdır. Səhifələmə tokenləri `secrets.pagination` bölməsində konfiqurasiya edilmiş gizli açarla şifrələnir. Bu gizli açarı bilən hücumçu, SQL inyeksiyasına səbəb olan zərərli tokenlər də daxil olmaqla, öz tokenlərini yarada bilər. Əgər bu konfiqurasiya dəyəri təyin edilməyibsə, Keto standart olaraq daxili (hard-coded) səhifələmə şifrələmə açarına keçid edir. Bu standart dəyər ictimaiyyətə məlum olduğu üçün, hücumçular bu gizli açarın təyin edilmədiyi quraşdırmalar üçün əllə etibarlı və zərərli səhifələmə tokenləri generasiya edə bilərlər. Bu problem GetRelationships API-na hücumçunun birbaşa və ya dolayısı ilə girişi olduqda, hücumçu təsirlənmiş API-ya xam səhifələmə tokeni ötürə bildikdə və `secrets.pagination` konfiqurasiya dəyəri təyin edilmədikdə və ya hücumçuya məlum olduqda istismar edilə bilər. Hücumçu saxtalaşdırılmış səhifələmə tokenləri vasitəsilə ixtiyari SQL sorğularını icra edə bilər. Birinci növbədə müdafiə tədbiri kimi, kriptoqrafik cəhətdən təhlükəsiz təsadüfi gizli açar generasiya ederek `secrets.pagination` üçün dərhal fərdi dəyər konfiqurasiya edin. Daha sonra, mümkün olan ən qısa müddətdə Keto-nu düzəliş edilmiş versiya olan 26.2.0 və ya daha yeni versiyaya yeniləyin.