CVE-2026-43644
Təsvir
podinfo 6.11.2 versiyasına qədər olan versiyalarda /echo və /api/echo son nöqtələrində (endpoints) əks olunan saytlararası skriptinq (reflected XSS) zəifliyi mövcuddur; burada echoHandler, aşkar Content-Type və ya X-Content-Type-Options başlıqlarını təyin etmədən sorğu gövdəsinin məzmununu birbaşa cavaba yazır. Hücumçular sorğu gövdəsində skript yükləri olan avtomatik göndərilən formalara malik çarpaz mənşəli (cross-origin) HTML səhifələri hazırlaya bilərlər. Go-nun məzmun növünün təyini mexanizmi səbəbindən bu məlumatlar text/html kimi təqdim olunur və qurban hücumçunun səhifəsinə daxil olduqda, əks olunan skriptin podinfo mənşə kontekstində icra edilməsinə şərait yaradır.
Necə düzəltmək olar
- github.com/stefanprodan/podinfo1.8.1-0.20260519111337-cbebb20fd485 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| stefanprodan podinfo | v ≤ 6.11.12 | — |
| github.com/stefanprodan/podinfoGo | v < 1.8.1-0.20260519111337-cbebb20fd485 | 1.8.1-0.20260519111337-cbebb20fd485 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.