CVE-2026-48518

MultiJuicer, lokal instansiyalara ehtiyac olmadan mərkəzi kubernetes klasterində ayrı-ayrı Juice Shop instansiyalarını işə salmaq üçün istifadə olunur. 8.0.0-dan 10.0.0-a qədər olan versiyalarda komandaya qoşulma son nöqtəsi (endpoint) (POST /multi-juicer/api/teams/{team}/join), o cümlədən text/plain daxil olmaqla hər hansı Content-Type ilə sorğuları qəbul edirdi. Bu məzmun tipi CORS preflight prosesini tetikləmədiyi üçün hücumçu, son nöqtəyə avtomatik sorğu göndərən və qurbanın brauzerini hücumçunun komandası kimi giriş etməyə məcbur edən kross-sayt HTML formasını yerləşdirə bilərdi. Uğurlu və aşkar edilməmiş hücumçu, qurbanların fərqinə varmadan Juice Shop tapşırıqlarını hücumçunun komanda kimliyi altında həll etməsinə səbəb ola bilər. CTF kontekstində bu, hücumçuya digər oyunçuların fəaliyyətindən istifadə edərək öz komandasının xalını artırmağa imkan verir və qurbanın "öz" Juice Shop-una daxil etdiyi hər hansı həssas məlumat hücumçunun instansiyasına çatır. Zəiflik heç bir əvvəlki autentifikasiya olmadan istismar edilə bilər; qurbana yalnız MultiJuicer tətbiqinə şəbəkə çıxışı olduğu halda hücumçunun nəzarət etdiyi səhifəni ziyarət etmək kifayətdir. Sessiya kukisindəki SameSite=Strict parametri bunu yumşaltmır, çünki hücum mövcud kukiyə güvənmək əvəzinə yeni kuki yerləşdirir. Bu problem 10.0.1 versiyasında düzəldilmişdir.