CVE-2026-48089

DevGuard proqram təminatı tədarük zəncirinin tamamı üçün boşluqların idarə edilməsini təmin edir. Versiya 1.4.2-dək olan DevGuard API instansiyalarında, bir və ya daha çox ictimai aktiv (public asset) olduqda, hər hansı autentifikasiya olunmuş istifadəçi — o cümlədən təsirlənmiş təşkilatda/layihədə üzvlüyü və ya rolu olmayan digər təşkilatlardan olan istifadəçilər — həmin ictimai aktivlər üzərində VEX qaydaları yarada, yeniləyə, tətbiq edə və silə bilər. Eyni çatışmazlıq ictimai aktiv altında təqdim olunan digər boşluqların triajı ilə bağlı yazı son nöqtələrinə (write endpoints) də təsir edir, bura VEX qaydasının yaradılması / yenilənməsi / tətbiqi / silinməsi; asılılıq-boşluq hadisələrinin yaradılması (qəbul etmə / rədd etmə / yumşaltma qərarları), toplu hadisələrin yaradılması, boşluq sinxronizasiyası və yumşaltma; lisenziya riskinin yaradılması; xarici istinad yazıları və/və ya artefaktın yaradılması və lisenziyanın yenilənməsi daxildir. Hücumçu instansiyada etibarlı hesaba mal olmalıdır, lakin qurban təşkilatda, layihədə və ya aktivdə üzvlük tələb olunmur. Versiya `v1.4.2` düzəliş ehtiva edir. Müvəqqəti həll yolu kimi, təsirlənən aktivləri qeyri-ictimai edin. Aktiv parametrlərində görünürlüyü "public"-dən "private"-a dəyişdirin. Bu, girişə nəzarət (access-control) proqram təminatındakı ictimai oxuma istisnasını aradan qaldırır və həmin aktiv üçün bütün yazı son nöqtələrində düzgün avtorizasiyanı bərpa edir. Əvvəllər ictimai `vex.json` / `sbom.json` son nöqtələrindən istifadə edən aşağı axın istehlakçılarına düzəliş edilmiş versiya tətbiq edilənə qədər açıq şəkildə giriş hüququ verilməli və ya ixrac edilmiş fayl versiyası təqdim edilməlidir.