CVE-2026-63405

AnyCable hər hansı bir backend-i dəstəkləyən etibarlı iki tərəfli rabitə üçün realvaxt serverdir. Versiya 1.6.15-dən əvvəl, pusher/http.go faylındakı Pusher ilə uyğun REST API, çağırıcı tərəfindən təmin edilən body_md5 dəyərini HMAC girişinə daxil edir, lakin alınan sorğu gövdəsinin heydestini (digest) hesablamır və ya onu imzalanmış dəyərlə müqayisə etmir. Legitim imzalanmış POST sorğusunu əldə edən hücumçu, onun sorğu parametrlərini və auth_signature hissəsini saxlayaraq gövdəni dəyişdirə bilər ki, bu da Handler və handleEvents funksiyalarının hücumçunun seçdiyi hadisə məzmununu qəbul etməsinə və yaymasına səbəb olar. auth_timestamp təravət yoxlamasının olmaması, həmçinin tutulmuş imzanın sonsuz sayda yenidən istifadəsinə (replay) imkan verir. Bu, server tərəfli hadisələrin saxtalaşdırılmasına, tətbiqin vəziyyətinin dəyişdirilməsinə və ya imzalanmış sorğunun tətbiq kontekstində WebSocket kliyentlərinə hücumçu tərəfindən idarə olunan mesajların göndərilməsinə gətirib çıxara bilər. Bu problem 1.6.15 versiyasında düzəldilmişdir.