CVE-2026-55773

CedarJava, Cedar siyasət dilinin açıq mənbəli Java implementasiyasıdır və incə dənəli avtorizasiya qərarları üçün istifadə olunur. 2.3.6, 3.4.1 və 4.9.0 versiyalarından əvvəlki versiyalarda müəyyən şəraitdə düzgün olmayan giriş emalı, escape edilməmiş toCedarExpr() vasitəsilə Cedar ifadə inyeksiyasına imkan verə bilərdi. Cedar Value tiplərindəki toCedarExpr() metodu dəyərləri Cedar mənbə koduna çevirərkən xüsusi simvolları (" və ya \) escape etmir. Əgər inteqrator istifadəçi tərəfindən idarə olunan dəyərlərdən icra zamanı siyasət mətnini qurmaq üçün toCedarExpr() istifadə edərsə, təcavüzkar ixtiyari Cedar ifadələri inyeksiya edə bilərdi. Məsələn, permit ... when { ... } bəndinə || true inyeksiya etmək permiti qeyd-şərtsiz edə bilər və ya forbid bəndinə && false inyeksiya etmək forbidin işə düşməsinin qarşısını ala bilər. Bu problem inteqratorun istifadəçi tərəfindən idarə olunan girişdən icra zamanı siyasət mətnini qurmaq üçün toCedarExpr() istifadə etməsini tələb edir. Bu zəiflik 2.3.6, 3.4.1 və 4.9.0 versiyalarında düzəldilmişdir.