CVE-2026-40458
Təsvir
PAC4J saytlararası sorğu saxtakarlığına (CSRF) qarşı həssasdır. Bədniyyətli hücumçu xüsusi hazırlanmış veb-sayt yarada bilər ki, istifadəçi həmin sayta daxil olduqda, heşi (hash) qurbanın legitim CSRF tokeni ilə toqquşan saxta kross-sayt sorğusu avtomatik olaraq göndərilir. Əhəmiyyətlisi odur ki, hücumçunun hücumdan əvvəl qurbanın CSRF tokenini və ya onun heşini bilməsinə ehtiyac yoxdur. Deterministik String.hashCode() funksiyasındakı toqquşmalar birbaşa hesablana bilir ki, bu da effektiv token təhlükəsizlik sahəsini 32 bitə endirir. Bu, CSRF mühafizəsindən yan keçməyə imkan verir və profil yeniləmələri, şifrə dəyişiklikləri, hesabların bağlanması və hər hansı digər vəziyyəti dəyişdirən əməliyyatların qurbanın razılığı olmadan yerinə yetirilməsinə şərait yaradır. Bu problem PAC4J versiyaları 5.7.10 və 6.4.1-də düzəldilmişdir.
Necə düzəltmək olar
- pac4j pac4j5.7.10, 6.4.1 və ya daha yeni versiya
- org.pac4j:pac4j-core5.7.10, 6.4.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| pac4j pac4j | 5.0.0 ≤ v < 5.7.10, 6.0.0 < v < 6.4.1 | 5.7.10, 6.4.1 |
| org.pac4j:pac4j-coreMaven | v < 5.7.10, 6.0.0-RC1 ≤ v < 6.4.1 | 5.7.10, 6.4.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.