CVE-2026-53912

Cerebrate versiya 1.37-dən əvvəlki versiyalarda özünəqeydiyyat sorğularından etibarlılıq məlumatları sızdırılırdı. Özünəqeydiyyat iş axını qeydiyyatdan keçənin həşlənmiş şifrəsini gələnlər qutusunun mesaj məlumatlarının faydal yükündə (payload) saxlayırdı. Bu faydal yüklər gələnlər qutusu indeks və baxış cavabları vasitəsilə (HTML, JSON və CSV çıxışları daxil olmaqla) redaktə edilmədən qaytarılır və həmçinin gələnlər qutusu mesajının audit loq yazılarıyla redaktə edilmədən yazıla bilirdi. Gələnlər qutusu yazılara və ya əlaqəli audit loqlarına giriş üçün kifayət qədər imtiyazlara malik olan autentifikasiya olunmuş istifadəçi gözləyən özünəqeydiyyat sorğuları ilə bağlı şifrə həşlərini əldə edə bilərdi. Sızan dəyər düz mətn şifrə deyil, şifrə həşi olsa da, şifrə həşlərinin açıqlanması oflayn şifrə qırma cəhdlərinə imkan verə bilər və istifadəçilərin müxtəlif sistemlərdə eyni şifrələri təkrar istifadə etdiyi hallarda riski artıra bilər. Cerebrate 1.37 versiyasında həssas şifrə və authkey sahələri gələnlər qutusunun ekranı/API çıxışlarından silinərək və audit loqlarına yazılan JSON dəyərlərindən rekursiv şəkildə təmizlənərək bu problem aradan qaldırılmışdır, eyni zamanda hesabın yaradılması prosesi üçün saxlanılan qeydiyyat faydal yükü olduğu kimi saxlanılmışdır. Təsirə məruz qalan komponent: Gələnlər qutusunda özünəqeydiyyat sorğularının idarə edilməsi və audit loqlaşdırılması Düzəldilmiş versiya: Cerebrate 1.37