CVE-2026-34759
Təsvir
OneUptime açıq mənbəli monitorinq və müşahidə platformasıdır. Versiya 10.0.42-dən əvvəl çox sayda bildiriş API son nöqtələri autentifikasiya proqram təminatı (middleware) olmadan qeydiyyatdan keçirilib, halbuki eyni kod bazasındakı digər oxşar son nöqtələr düzgün şəkildə ClusterKeyAuthorization.isAuthorizedServiceMiddleware istifadə edir. Bu son nöqtələrə Nginx proksisi vasitəsilə /notification/ ünvanı üzrə kənardan giriş mümkündür. İctimai Status Page API-dan sızan projectId ilə birlikdə, autentifikasiya olunmamış hücumçu qurbanın Twilio hesabında telefon nömrələri ala və mövcud bütün xəbərdarlıq nömrələrini silə bilər. Bu problem versiya 10.0.42-də aradan qaldırılıb.
Necə düzəltmək olar
- hackerbay oneuptime10.0.42 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hackerbay oneuptime | v < 10.0.42 | 10.0.42 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.