CVE-2026-40904
Təsvir
Chartbrew məlumat bazalarına və API-lərə birbaşa qoşula bilən və bu məlumatlardan istifadə edərək diaqramlar yarada bilən açıq mənbəli veb tətbiqdir. Versiya 4.9.0-da Chartbrew çox sayda dataset və dataRequest son nöqtələrini (endpoints) təmin edir ki, bunlar sorğu edilən dataset_id, dataRequest id və connection_id-ni çağıranın icazə verilmiş layihələrinə bağlamaq əvəzinə, aşağı səlahiyyətli layihə üzvlərini komanda səviyyəsində avtorizasiya edir. Komanda daxilində yalnız bir layihəyə giriş imkanı olan autentifikasiya olunmuş hücumçu eyni komandadakı digər layihələrə aid datasetləri və məlumat sorğularını oxuya, icra edə, yarada, yeniləyə və silə bilər. Bu problem adi layihə səviyyəli etibarnamələrlə uzaqdan istismar edilə bilər və layihələr arası məlumat sızmasına, həmçinin qurban tərəfdəki məlumat bazası və ya API bağlantılarının icazəsiz istifadəsinə səbəb olar. Bu problem versiya 5.0.0-da aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| chartbrew chartbrew | = 4.9.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.