CVE-2026-44719
Təsvir
Mathesar, PostgreSQL verilənlər bazaları ilə işləməyi həm sadə, həm də güclü edən veb tətbiqdir. 0.2.0 versiyasından 0.10.0 versiyasına qədər olan hissədə collaborators.list, tables.metadata.list, explorations.list və forms.list metodları, sorğu göndərən istifadəçinin həmin verilənlər bazasında əməkdaş (collaborator) olduğunu yoxlamadan database_id parametrini qəbul edir. Eyni Mathesar quraşdırmasındakı autentifikasiya olunmuş bir istifadəçi bu metodlardan istifadə edərək, əməkdaş olmadığı verilənlər bazaları üçün Mathesar tərəfindən idarə olunan metadata məlumatlarını görə bilərdi. Verilənlər bazasından və istifadə olunan funksiyalardan asılı olaraq, açıqlanan metadata əməkdaş xəritələnmələrini, cədvəl metadatasını, yadda saxlanılmış araşdırma metadatasını və forma metadatasını əhatə edə bilərdi. Formalar üçün açıqlanan metadata form tokenlərini ehtiva edirdi. İctimai formalar üçün tokenin sahibliyi, ictimai forma linkinin sahibliyinə bərabərdir ki, bu da formanın konfiqurasiya edilmiş PostgreSQL rolu altında formaya məlumat göndərilməsinə imkan verir. Bu zəiflik 0.10.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mathesar-foundation mathesar | >= 0.2.0, < 0.10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.