CVE-2026-45296
Təsvir
OpenReplay özünə məxsus serverdə quraşdırılan sessiya təkrarlama dəstidir. Versiya 1.26.0-dan əvvəl OpenReplay-in Python API-si bir neçə app_apikey marşrutunu təmin edir ki, bunlar yalnız API açarının etibarlılığını və hədəf projectKey-in mövcudluğunu yoxladıqdan sonra çağırıcı tərəfindən təqdim edilən projectKey-ə etibar edir. Avtorizasiya axını autentifikasiya olunmuş API açarı ilə sorğu edilən layihənin eyni tenant-a aid olduğunu yoxlamır. İctimai izləyici dizaynı projectKey-i brauzer tərəfli koda açdığı üçün, öz tenant-ı üçün hər hansı etibarlı API açarına sahib olan hücumçu həmin ictimai projectKey-dən istifadə edərək digər tenant-ın layihəsini hədəf ala bilər. Zəiflikli marşrutlar hücumçuya qurban istifadəçi sessiyalarını sadalamağa və daha sonra tenant sərhədləri boyunca həssas sessiya hadisələri məlumatlarını əldə etməyə imkan verir. Bu zəiflik 1.26.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openreplay openreplay | < 1.26.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.