CVE-2026-59157
Təsvir
webhookd, HTTP sorğuları vasitəsilə shell skriptlərini və xarici prosesləri işə salan minimalist webhook serveridir. 1.22.0 versiyasından əvvəl, htpasswd autentifikasiyası olmadan qurulmuş webhookd tətbiqləri bütün daxil olan HTTP başlıqlarını pkg/api/index.go faylındakı HTTPParamsToShellVars vasitəsilə hər hansı bir icazə siyahısı (allowlist) olmadan hook skript mühitinə ötürürdü. Yuxarı axınlı (upstream) reverse proxy klient tərəfindən təmin edilən X-WebAuthn-User başlığını silmədikdə və hook skripti həmin dəyişənə kimlik və ya imtiyaz üçün etibar etdikdə, uzaqdakı autentifikasiya olunmamış hücumçu digər istifadəçini təqlid edə bilər, skriptin təhlükəsizlik nəzarətlərindən yan keçə bilər və təqlid edilən kimliyə məxsus resurslara daxil ola və ya onları dəyişdirə bilərdi. Bu problem 1.22.0 versiyasında düzəldilib.
Necə düzəltmək olar
- github.com/ncarlier/webhookd1.22.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/ncarlier/webhookdGo | v < 1.22.0 | 1.22.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.