CVE-2026-53661

Boruta, mərkəzləşdirilməmiş kimlik spesifikasiyalarına qədər OAuth 2.0 və Openid Connect-i tətbiq etməyi hədəfləyən müstəqil avtorizasiya serveridir. Versiya 0.9.1-dən əvvəl boruta sessiya kukiləri və kimliyin “remember me” kukisi Secure atributu olmadan təyin edilmişdi. İstifadəçilərin eyni Boruta mənbəyinə şifrələnməmiş HTTP vasitəsilə daxil ola bildiyi mühitlərdə brauzerlər bu kukiləri şifrələnməmiş bağlantı üzərindən göndərə bilərdi. Şəbəkə trafikini izləyə və ya tuta bilən hücumçu etibarlı sessiya və ya remember-me kukisini əldə edə və ondan təsirlənən istifadəçini təqlid etmək üçün istifadə edə bilərdi. Təsirlənən komponentlərə boruta_web, boruta_identity və boruta_admin daxildir. Təsirlənən kukilərə standart olaraq _boruta_web_key olan ortaq sessiya kukisi və standart olaraq `_boruta_identity_web_user_remember_me` olan kimlik remember-me kukisi daxildir. Problem versiya 0.9.1-in tərkibində buraxılan 18691c655164635066aa113003a3cd87f6ed11cd commit-də düzəldilmişdir. Yamaq boruta_web, boruta_identity və boruta_admin üçün konfiqurasiya edilmiş sessiya kukilərində `secure: true` və `same_site: "Lax"` parametrlərini, həmçinin kimlik remember-me kukisində `secure: true` parametrini təyin edir. Düzəlişi ehtiva edən versiyaya yenilənənə qədər: sorğular Boruta-ya çatmamışdan əvvəl şifrələnməmiş HTTP bağlantılarını dayandırın və ya rədd edin; reverse proxy və ya load balancer səviyyəsində yalnız HTTPS girişini təmin edin; Boruta domenləri üçün HSTS-ni aktivləşdirin; kukilərin sızdırıldığı şübhəsi varsa, SECRET_KEY_BASE və BORUTA_SESSION_COOKIE_SIGNING_SALT dəyərlərini dəyişin, sonra istifadəçilərdən yenidən autentifikasiya tələb edin. 18691c655164635066aa113003a3cd87f6ed11cd commit-ni ehtiva edən versiyaya yenilənin və ya yamağı əllə tətbiq edin. Düzəlişi tətbiq etdikdən sonra brauzerin developer alətləri və ya HTTP cavabını yoxlama aləti ilə Boruta sessiya və remember-me kukilərinin Secure atributuna malik olduğunu yoxlayın.