CVE-2026-55587
Təsvir
AliasVault daxili e-poçt aliaslaşdırma funksiyasına malik məxfiliyə üstünlük verən parol meneceridir. Versiya 0.29.4-dək olan AliasVault brauzer əlavəsinin passkey provayderi passkey sorğularını aktual veb səhifənin mənşəyinə (origin) bağlamır və ya sorğu edilən etibar olunan tərəf identifikatorunun (relying-party identifier) cari vebsaytla uyğun olduğunu yoxlamır. Zərərli bir vebsayt saxta mənşə və etibar olunan tərəf dəyərləri təqdim edə bilər və əgər uyğun saxlanılmış passkey-ə malik olan qurban AliasVault passkey bildirişini təsdiqləyərsə, fərqli bir vebsayt üçün etibarlı təsdiq (assertion) əldə edə bilər. İstismar üçün əlavənin quraşdırılması, kilidinin açılması və passkey provayderi kimi konfiqurasiya edilməsi, həmçinin təqlid edilən sayt üçün saxlanılmış passkey-in olması tələb olunur; bu proses gizli şəkildə baş verə bilməz, çünki qurban bildirişi təsdiqləməlidir. Server, veb tətbiqi və mobil tətbiqlər bundan təsirlənmir. Bu problem 0.29.4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| aliasvault aliasvault | < 0.29.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.