CVE-2026-55879
Təsvir
OpenReplay öz serverində yerləşdirilən sessiya təkrarı paketidir. 1.24.0-dan 1.25.0-dan əvvələ qədər OpenReplay tracking SDK istənilən ziyarətçidən açıq layihə açarından istifadə edərək fərdi hadisə adlarını və ələ keçirilmiş səhifə URL-lərini qəbul edir, onları çıxış kodlaşdırması olmadan ClickHouse-da saxlayır və sonradan autentifikasiya olunmuş idarəetmə panelində TextEllipsis və hadisə detalları modalı vasitəsilə göstərir, bu da autentifikasiya olunmamış hücumçuya idarəetmə panelinin mənşəyində icra olunan skript yerləşdirməyə, localStorage-dan sessiya JWT-ni oxumağa və idarəetmə paneli hesabını ələ keçirməyə imkan verir. Bu problem 1.25.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openreplay openreplay | >= 1.24.0, < 1.25.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.