CVE-2026-58369
Təsvir
Woodpecker 3.15.0 versiyasından əvvəlki versiyalarda /api/orgs/lookup/*org_full_name son nöqtəsi autentifikasiya proqram təminatı olmadan qeydiyyata alınır və LookupOrg idarəedicisi sorğu üçün forge seçərkən sessiya istifadəçisini (ForgeFromUser vasitəsilə user.ForgeID) şərtsiz olaraq dereference edir. Autentifikasiya olunmamış sorğu üçün session.User nil qaytarır, buna görə də hər hansı autentifikasiya olunmamış HTTP sorğusu idarəedicidə NULL göstəricisinin dereference edilməsini tetikləyir. Panic halı gin recovery proqram təminatı tərəfindən bərpa edilir və server xidmət göstərməyə davam edir (HTTP 500 qaytarır), lakin hər bir sorğu xəta loquna çoxsətirli panic stack trace yazır. Aşağı zolaqlı, autentifikasiya olunmamış hücumçu loqları doldurmaq üçün (hər sorğu üçün təxminən 37 sətir) həmin son nöqtəni təkrarən yoxlaya bilər ki, bu da disk istifadəsini və loqların emalı xərclərini artırır, həmçinin legitim loq hadisələrini gizlədir.
Necə düzəltmək olar
- woodpecker-ci woodpecker3.15.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| woodpecker-ci woodpecker | v < 3.15.0 | 3.15.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.