CVE-2026-50285

Pomerium kimlik və kontekstdən xəbərdar giriş proksisidir. Versiya 0.32.8-ə qədər, internal/authenticateflow/stateless.go faylında Stateless.Callback üçün HPKE V2 dəyərləri DecryptURLValues tərəfindən emal edilərkən, pkg/hpke/url.go faylındakı decodeQueryStringV2 funksiyası hücum edən şəxs tərəfindən idarə olunan məlumatların çıxış yaddaşı limiti olmadan zstd sıxılmasının açılmasını həyata keçirir. Host edilmiş və ya stateless autentifikasiya tətbiqlərində, autentifikasiya olunmamış hücumçu /.well-known/pomerium/hpke-public-key ünvanından qəbul edici açarı əldə edə bilər, uyğun gələn və özü tərəfindən idarə olunan göndərən açarı təqdim edə bilər və validateSenderPublicKey funksiyası göndərəni rədd etməzdən əvvəl genişlənən sıxılmış yükü /.pomerium/callback ünvanına göndərə bilər. Bu, hər sorğu üçün yüzlərlə meqabaytın ayrılmasına, proksi yaddaşının tükənməsinə, prosesin çökməsinə və ya performansının aşağı düşməsinə və tətbiqin qoruduğu proqramlara girişi bloklamağa səbəb ola bilər. Stateful tətbiqlər buna təsir etmir, çünki stateful callback şifrələmənin açılması və sıxılmanın aradan qaldırılmasından əvvəl HMAC imzasını yoxlayır. Bu problem 0.32.8 versiyasında düzəldilmişdir.