CVE-2026-54136

Windmill daxili kodlar üçün açıq mənbəli tərtibatçı platformasıdır: API-lər, fon işləri, iş axınları və UI-lar. 1.715.0 versiyasından əvvəl resurs səviyyəsində məhdudlaşdırılmış API tokeni GET /api/w/{workspace}/scripts/list_search vasitəsilə icazə verilmiş yol sahəsinin kənarındakı skript məzmunlarını oxuya bilirdi. Marşrut səviyyəli sahə proqram təminatı (middleware) token domenini və hərəkəti yoxlayırdı, lakin resurs/yol seqmentini tətbiq etmirdi və list_search_scripts idarəçisi skript yolu və məzmunu sahələrini qaytarmazdan əvvəl əlavə check_scopes çağırışına və ya sətir üzrə filtrləməyə malik deyildi. Buna görə də, scripts:read:f/allowed/* kimi bir token eyni iş sahəsindəki əlaqəsiz yollar üçün mənbə kodunu ala bilərdi ki, bu da daxili avtomatlaşdırma məntiqinin, inteqrasiya detallarının, biznes məntiqinin, sətirdaxili konfiqurasiyanın və ya sabit kodlanmış gizli məlumatların və etibarnamələrin ifşa olunmasına səbəb ola bilərdi. İstismar üçün iş sahəsi üçün keçərli olan məhdudlaşdırılmış API tokeninə sahib olmaq tələb olunurdu, lakin administrator imtiyazları tələb edilmirdi. Bu problem 1.715.0 versiyasında düzəldilmişdir.