CVE-2026-71495
Təsvir
Wanderer macəraları yadda saxlamaq və paylaşmaq üçün özünə məxsus (self-hosted) izlər verilənlər bazasıdır. 0.20.0 versiyasından əvvəl, PUBLIC_PRIVATE_INSTANCE dəyişəni true olaraq təyin edilmədikdə, autentifikasiya olunmamış POST /api/v1/trail/download handleri hücum edən tərəfindən idarə olunan JSON url sahəsini birbaşa event.fetch()-ə ötürür və alınan cavabı qaytarır. Bu, db:8090 və search:7700 kimi daxili xidmətlərə, bulud metadata ünvanlarına və digər şəbəkə təyinat nöqtələrinə sorğuların göndərilməsinə imkan verir ki, bu da qaytarılan məlumatların ifşasına, daxili şəbəkə kəşfiyyatına və ya xidmətdən imtinaya səbəb ola bilər. Bu problem 0.20.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| open-wanderer wanderer | < 0.20.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.