CVE-2026-77386
Təsvir
Kyoo filmlər, seriallar və animelərə yönəlmiş özünə məxsus (self-hosted) media serverdir. Versiya 5.1.0-a qədər autentifikasiya olunmamış hücumçu, hücumçunun nəzarətində olan redirectUrl ilə OIDC giriş prosesini başlada bilirdi. auth/oidc.go faylındakı giriş idarəetməsi həmin URL-i şəffaf olmayan (opaque) giriş vəziyyəti ilə birlikdə saxlayırdı və /auth/oidc/logged/{provider} təyinat yerini yoxlamadan qurbanın brauzerini yönləndirməzdən əvvəl provayder, token və xəta dəyərlərini əlavə edirdi. Bir dəfə istifadə olunan token girişi başladan brauzer sessiyasına bağlanmadığı üçün, qurbanı OIDC autentifikasiyasını tamamlamağa sövq edən hücumçu, tokeni öz nəzarətində olan təyinat yerində əldə edə və onu /auth/oidc/callback/{provider} vasitəsilə qurbanın Kyoo sessiyası ilə dəyişdirə bilərdi. Bu problem 5.1.0 versiyasında düzəldilib.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zoriya Kyoo | < 5.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.