CVE-2026-63325
Təsvir
Redocly CLI OpenAPI validasiyasını, lintinqi və sənədləşdirmə iş axınlarını asanlaşdırır. @redocly/respect-core və @redocly/cli-nin 2.33.0 versiyasından əvvəl, respect komandası Arazzo təsvirlərindəki $faker runtime ifadələrini dinamik şəkildə qiymətləndirir. Xüsusi hazırlanmış bir ifadə packages/respect-core/src/modules/context-parser/get-value-from-context.ts faylında constructor, prototype və ya __proto__ xassələri vasitəsilə keçid edərək JavaScript Function konstruktoruna çata bilər və istifadəçi etibarsız təsviri emal etdikdə ixtiyari kodun icrasına səbəb ola bilər. İcra olunan kod CLI prosesinin imtiyazları ilə çalışır və shell əmrlərini yerinə yetirə və ya CI gizli məlumatlarını oxuya bilər. Yalnız etibarlı və özləri tərəfindən yazılmış iş axınlarını emal edən istifadəçilər bundan təsirlənmir. Bu problem @redocly/respect-core və @redocly/cli-nin 2.33.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Redocly redocly-cli | < 1.34.17, >= 2.0.0, < 2.33.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.