CVE-2026-54588

Kritik

Təsvir

Poweradmin, PowerDNS serveri üçün veb əsaslı DNS idarəetmə alətidir. 4.2.4 və 4.3.3 versiyalarından əvvəlki versiyalarda OIDC, SAML və çıxış (logout) autentifikasiya axınlarında geri çağırış URL-lərinin qurulması üçün hər hansı yoxlama aparılmadan hücumçunun nəzarətində olan `HTTP_HOST` sorğu başlığından istifadə olunur. Autentifikasiya olunmamış hücumçu Kimlik Provayderinə (Identity Provider) göndərilən `redirect_uri`-ni zəhərləyə bilər ki, bu da IdP-nin qurbanın avtorizasiya kodunu hücumçunun nəzarətində olan serverə yönləndirməsinə səbəb olur və nəticədə heç bir etibarnamə tələb olunmadan hesabın tam ələ keçirilməsi ilə nəticələnir. 4.2.4 və 4.3.3 versiyaları bu problemi aradan qaldırır.

CiddilikKritik

CVSS9.6

İstismar ehtimalı—

MəhsulPoweradmin/poweradmin

Dərc23 iyn 2026

İlk görülmə23 iyn 2026

Zəiflik növüCWE-20Girişin yetərsiz yoxlanılması CWE-601Açıq yönləndirmə

Necə düzəltmək olar

Yeniləyin

poweradmin/poweradmin4.2.4, 4.3.3 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
poweradmin/poweradminPackagist	v < 4.2.4, 4.3.0 ≤ v < 4.3.3	4.2.4, 4.3.3

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.