CVE-2026-42206
Təsvir
Roadiz, nod sisteminə əsaslanan polimorfik məzmun idarəetmə sistemidir. 2.3.43, 2.5.45, 2.6.31 və 2.7.18 versiyalarından əvvəl roadiz/openid paketi OAuth2LinkGenerator::generate() funksiyasında OIDC nonce yaradır və onu kimlik təminatçısına göndərilən avtorizasiya sorğusuna daxil edir, lakin onu heç vaxt saxlamır və geri çağırışda (callback) yoxlamır. OpenIdJwtConfigurationFactory validasiya zənciri nonce məhdudiyyətini ehtiva etmir və OpenIdAuthenticator::authenticate() qaytarılan ID tokenindəki nonce iddiasını saxlanılmış dəyərlə heç vaxt müqayisə etmir. Bu problem 2.3.43, 2.5.45, 2.6.31 və 2.7.18 versiyalarında aradan qaldırılıb.
Necə düzəltmək olar
- roadiz/openid2.7.18, 2.6.31, 2.5.45, 2.3.43 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| roadiz/openidPackagist | 2.7.0 ≤ v < 2.7.18, 2.6.0 ≤ v < 2.6.31, 2.5.0 ≤ v < 2.5.45, v < 2.3.43 | 2.7.18, 2.6.31, 2.5.45, 2.3.43 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.