CVE-2026-54673
Təsvir
electron-updater Electron tətbiqləri üçün avtomatik yeniləmələrə imkan verir. 9.7.0 versiyasından əvvəl, HTTP yönləndirmə idarəçisi (HttpExecutor.prepareRedirectUrlOptions) yalnız açar sətiri tam olaraq kiçik hərflərlə "authorization" sözünə uyğun gələn etibarlılıq başlığını silirdi və bu, etibarlılıq məlumatlarının ifşa olunmasına səbəb olurdu. Digər etibarlılıq məlumatlarını daşıyan başlıqlar — xüsusilə PRIVATE-TOKEN (GitLab-ın şəxsi giriş token axını tərəfindən istifadə olunur) və qarışıq registrdə yazılmış Authorization (GitLab-ın Bearer/OAuth axını tərəfindən istifadə olunur) — silinmir və hücumçu tərəfindən idarə olunan çarpaz mənşəli yönləndirmə təyinatına ötürülə bilərdi. Bu problem 9.7.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- electron builder-util-runtime9.7.0 və ya daha yeni versiya
- electron electron-builder26.15.0 və ya daha yeni versiya
- builder-util-runtime9.7.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| electron builder-util-runtime | v < 9.7.0 | 9.7.0 |
| electron electron-builder | v < 26.15.0 | 26.15.0 |
| builder-util-runtimenpm | v < 9.7.0 | 9.7.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.