CVE-2026-50167
Təsvir
Kurrier e-poçt, təqvim, kontaktlar və yaddaş üçün müasir, özünə məxsus serverdə quraşdırılan iş sahəsidir. Versiya 1.2.4-dən əvvəl, Kurrier-in webhook və identifikasiya resurslarının siyahısını çıxarmaq və onları əldə etmək üçün nəzərdə tutulmuş API son nöqtələri autentifikasiya olunmuş API sorğuları üçün mülkiyyət yoxlamalarını tətbiq etmirdi. Valid API açarı olan hücumçu, apps/worker/server/routes/api/kurrier/webhooks/[id].get.ts, apps/worker/server/routes/api/kurrier/webhooks/index.get.ts, apps/worker/server/routes/api/kurrier/identities/[id].get.ts və apps/worker/server/routes/api/kurrier/identities/index.get.ts vasitəsilə digər hesabın identifikatorlarından istifadə edərək həmin hesaba aid webhook və identifikasiya resurslarını oxuya və onların siyahısını çıxara bilərdi. Anonim sorğular və yanlış API açarları rədd edilirdi, həmçinin istifadəçilərarası dəyişiklik əməliyyatları bloklanırdı, lakin təsirlənmiş GET və siyahılama əməliyyatları digər istifadəçinin resurs meta-məlumatlarını ifşa edə bilərdi. Bu problem 1.2.4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kurrier-org kurrier | < 1.2.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.