CVE-2026-38566
Təsvir
HireFlow v1.2 versiyasında heç bir vəziyyət dəyişdirici POST son nöqtəsində (endpoint) CSRF token yoxlaması tətbiq edilməmişdir. Bütün formalar (/profile ünvanında şifrənin dəyişdirilməsi, /candidates/delete/<id> ünvanında namizədin silinməsi, /feedback/add/<id> ünvanında rəyin göndərilməsi, /interviews/add ünvanında müsahibənin təyin edilməsi) CSRF hücumlarına qarşı həssasdır. Autentifikasiya olunmuş istifadəçini zərərli səhifəyə daxil olmağa sövq edə bilən hücumçu, qurbanın şifrəsini gizlicə dəyişə, qeydləri silə və ya onun adından ixtiyari məlumatlar daxil edə bilər. Həmçinin, SESSION_COOKIE_SAMESITE atributu konfiqurasiya edilməyib ki, bu da brauzer səviyyəsindəki CSRF müdafiəsini aradan qaldırır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| HireFlow | 1.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.