CVE-2026-64857
Təsvir
Təhlükəsizlik freymvorku olan tirreno-nun 0.10.0 versiyasından əvvəlki versiyalarında sessiyanın fiksasiyası (session fixation) problemi mövcuddur. Autentifikasiya zamanı tirreno istifadəçinin etibarlılığını yoxlayır və autentifikasiya olunmuş sessiya yaradır, lakin bundan sonra `session_regenerate_id()` funksiyasını çağırmır. Nəticədə, giriş zamanı sessiya identifikatoru dəyişdirilmir, o, autentifikasiyadan əvvəl və sonra eyni qalır. Qurbanın brauzerində məlum sessiya identifikatorunu fiksasiya edə bilən hücumçu (məsələn, şəbəkədə "man-in-the-middle" mövqeyi vasitəsilə və ya ayrıca saytlararası skriptinq (XSS) yaxud alt domen kukisinin inyeksiya problemi ilə), daha sonra qurbanın autentifikasiya olunmuş sessiyasına giriş əldə edə bilər. Problem v0.10.0 versiyasında aradan qaldırılmışdır. Artıq uğurlu autentifikasiyadan sonra sessiya identifikatoru yenidən yaradılır və əvvəlki sessiya məhv edilir. Konfiqurasiya səviyyəsində heç bir alternativ həll yolu yoxdur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tirrenotechnologies tirreno | < 0.10.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.