CVE-2026-59920
Təsvir
Netty asinxron, hadisəyönümlü şəbəkə tətbiqi freymvorkudur. 4.1.136.Final və 4.2.16.Final versiyalarından əvvəlki versiyalarda Netty-nin STOMP enkoderi (StompSubframeEncoder) CONNECT və CONNECTED freymlərində başlıq dəyərlərini ekranlaşdırmır və ya yoxlamır, buna görə başlıq dəyərindəki xam yeni sətir (\n) simvolları birbaşa şəbəkəyə yazılır və başlıq dəyərinə nəzarət edən hücumçu əlavə STOMP başlıqları yeridə bilər. Bu, enkoderin STOMP 1.2 spesifikasiyasına uyğun olaraq CONNECT/CONNECTED freymləri üçün ekranlaşdırmanı qəsdən atlaması, lakin xam yeni sətirləri heç vaxt rədd etməməsi səbəbindən baş verir və broker hər sətri ayrıca başlıq kimi təhlil etdiyi üçün istifadəçi tərəfindən təqdim edilən login və ya passcode kimi dəyərə nəzarət edən hücumçu qoşulma parametrlərini üzərinə yaza və ya autentifikasiyadan yan keçmək və ya imtiyazları yüksəltmək üçün autentifikasiya/rol başlıqları əlavə edə bilər (faktiki təsir brokerdən asılıdır). Problem 4.1.136.Final və 4.2.16.Final versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- netty netty4.1.136, 4.2.16 və ya daha yeni versiya
- io.netty:netty-codec-stomp4.2.16.Final, 4.1.136.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | v < 4.1.136, 4.2.0 ≤ v < 4.2.16 | 4.1.136, 4.2.16 |
| io.netty:netty-codec-stompMaven | 4.2.0.Final ≤ v < 4.2.16.Final, v < 4.1.136.Final | 4.2.16.Final, 4.1.136.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.