CVE-2026-39911
Təsvir
Hashgraph Guardian versiya 3.5.1 daxil olmaqla, 45fbe2f commit-ində düzəldilmiş versiyalarda, Custom Logic siyasət bloku işçisində (worker) qumcuza alınmamış (unsandboxed) JavaScript icrası zəifliyi mövcuddur. Bu zəiflik autentifikasiya olunmuş Standard Registry istifadəçilərinə, istifadəçi tərəfindən təmin edilən JavaScript ifadələrini izolyasiya olmadan birbaşa Node.js Function() konstruktoruna ötürməklə ixtiyari kodu icra etməyə imkan verir. Hücumçular konteyner fayl sistemindən ixtiyari faylları oxumaq, RSA şəxsi açarları, JWT imzalama açarları və API tokenləri kimi həssas məlumatları ehtiva edən proses mühit dəyişənlərinə giriş əldə etmək və administratorlar da daxil olmaqla hər hansı istifadəçi üçün etibarlı autentifikasiya tokenləri yaratmaq məqsədilə yerli Node.js modullarını idxal edə bilərlər.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hedera guardian | v ≤ 3.5.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.