CVE-2026-45343
Təsvir
LinkAce vebsayt linklərini toplamaq üçün özünə məxsus hostunda yerləşdirilən arxivdir. Versiya 2.5.6-ya qədər olan LinkAce versiyalarında, aşağı səlahiyyətli istifadəçiyə administratorun brauzer sessiyasında ixtiyari JavaScript kodunu icra etməyə imkan verən saxlanılan saytlararası skriptinq (XSS) boşluğu mövcuddur. Bu, LinkAce-də dəstəklənən autentifikasiya metodlarından biri olan SSO/OAuth autentifikasiyası ilə konfiqurasiya edilmiş nümunələrə təsir edir. Öz OAuth görünüş adını zərərli skript olaraq təyin edən və daha sonra API tokeni yaradan hücumçu, audit loqunda qalıcı XSS yükünü yerləşdirə bilər. Hər hansı bir administrator /system/audit ünvanına daxil olduqda, həmin yük administratorun brauzer kontekstində icra olunur. Bu, sessiya kukilərinin oğurlanmasına, CSRF tokeninin sızdırılmasına (la-app-data meta teqində açıq şəkildə) və ya administratorun yerinə yetirə bildiyi hər hansı digər hərəkətə şərait yaradır. Bu boşluq 2.5.6 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Kovah LinkAce | < 2.5.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.