CVE-2026-54072
Təsvir
Authorizer açıq mənbəli, özünə aid host edilə bilən autentifikasiya və avtorizasiya serveridir. Versiya 2.2.1-dən əvvəl `/authorize` son nöqtəsi hər hansı bir `redirect_uri`-ni `AllowedOrigins` ilə yoxlamadan qəbul edir. `response_type=token` və ya `response_type=id_token` olduqda, server `access_token`, `id_token` və `refresh_token`-i sorğu parametrləri kimi əlavə edir və hücumçunun təqdim etdiyi URL-ə 302 yönləndirməsi həyata keçirir. Autentifikasiya olunmamış hücumçu tələb olunan `client_id`-ni ictimai `/graphql?query={meta{client_id}}` son nöqtəsindən əldə edə bilər. Digər idarəedicilərə (`oauth_login`, `verify_email`, `magic_link_login`, `forgot_password`, `invite_members`, `oauth_callback`) v2.0.1 versiyasında qismən düzəliş tətbiq edilmişdir, lakin `/authorize` bura daxil edilməmişdir. Versiya 2.2.1 daha tam düzəlişi ehtiva edir.
Necə düzəltmək olar
- github.com/authorizerdev/authorizer0.0.0-20260409051328-bd3f5baf6d3d və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/authorizerdev/authorizerGo | v < 0.0.0-20260409051328-bd3f5baf6d3d | 0.0.0-20260409051328-bd3f5baf6d3d |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.