CVE-2026-54047
Təsvir
Laci Synchroni, Dalamud üçün mərkəzləşdirilməmiş mod və görünüş sinxronizasiya serveri və plaginidir. Backend-in 1.2.3 versiyasından əvvəlki versiyalarında tətbiqin OAuth2 giriş axınında yanlış autentifikasiya zəifliyi mövcuddur. Tətbiq, istifadəçinin lokal `config.json` faylının `Authentications` obyektindəki `UID` sahəsinə etibar edərək klient tərəfli vəziyyətə arxalanır. İstifadəçi daxil olmazdan əvvəl öz kompüterində bu lokal faylı əllə redaktə edərək istənilən UID təyin edə bilər. Server autentifikasiya olunmuş OAuth2 kimliyinin sorğu edilən UID ilə uyğun olduğunu yoxlamadığı üçün hücumçu hər hansı hədəf istifadəçini tamamilə təqlid edə və onun adından hərəkətlər edə bilər. Bu problem 1.2.3 versiyasında həll edilmişdir. Yamaq, `SecretKeyAuthenticatorService` daxilindəki `AuthorizeOauthAsync` funksiyasını dəyişərək sorğu edilən istifadəçi ID-sinin (`requestedUid`) axtarışını uğurla autentifikasiya olunmuş kimlik qeydinə (`primaryUid`) ciddi şəkildə bağlayır. Server artıq sorğu edilən UID təsdiqlənmiş, autentifikasiya olunmuş verilənlər bazası qeydi ilə uyğun gəlmədiyi təqdirdə sessiya tokenlərini yükləməyəcək və ya qaytarmayacaqdır. Heç bir məlum alternativ həll yolu mövcud deyil.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| LaciSynchroni server | < 1.2.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.