CVE-2026-53911

Cerebrate versiya 1.37-dən əvvəlki versiyalarda CRUD redaktə əməliyyatları və müəyyən fərdi entiti yamalama axınları zamanı 'id' primary key sahəsinin sorğu girişi vasitəsilə təmin edilməsinə icazə verilirdi. 'id'-ni açıq şəkildə əlçatmaz kimi qeyd etməyən təsirlənmiş entitilərdə autentifikasiya olunmuş hücumçu, başqa bir qeydin 'id'-sini ehtiva edən xüsusi hazırlanmış redaktə sorğusu göndərə bilərdi ki, bu da yadda saxlama əməliyyatının marşrut parametri ilə müəyyən edilmiş qeyd əvəzinə həmin əlaqəsiz qeydi yeniləməsinə səbəb olurdu. Problem, arasında User, Role, UserSetting, LocalTool, PermissionLimitation və EnumerationCollection olan, icazəverici kütləvi mənimsəmə (mass-assignment) standartlarını miras alan bir neçə entiti növünə təsir göstərirdi. UserSettings redaktə funksionallığına hər hansı autentifikasiya olunmuş istifadəçi tərəfindən daxil olmaq mümkün olduğu üçün, istismar eyni entiti növü daxilindəki qeydlərin icazəsiz dəyişdirilməsinə şərait yarada bilərdi və bunun təsiri təsirlənən son nöqtədən (endpoint) və yazıla bilən sahələrdən asılı idi. Cerebrate 1.37 versiyası bunu marshalling callback-lərindən sonra 'id'-ni sorğu girişindən çıxarmaqla və baza AppModel entitisində 'id'-ni qlobal olaraq əlçatmaz kimi qeyd etməklə düzəldir. Bu potensial boşluqların aşkar edilməsi Jeroen Pinoy-un ilkin tapıntılarına, AI-Assisted Optus 4.8-in (commit-də model dəyişdiyi üçün yanlışlıqla Claude Fable 5 təyin edilib) əlavə dəstəyinə əsaslanır və Andras Iklody tərəfindən koordinasiya edilmişdir.