CVE-2026-81034
Təsvir
Netmaker konfiqurasiya edilmiş poçt serveri ilə bağlantıda sertifikat yoxlamasını deaktiv edir. pro/email/smtp.go faylındakı göndərən, istehsalat mühitində bu parametrin false olması gərəkdiyini bildirən şərhin dərhal altında, skip-verify sahəsi şərtsiz olaraq true təyin edilmiş TLS konfiqurasiyasını təyin edir. Bunu tənzimləyən heç bir konfiqurasiya dəyəri yoxdur və yoxlamanı bərpa edən heç bir kod yolu mövcud deyil, buna görə də klient poçt serverinin təqdim etdiyi istənilən sertifikatı, o cümlədən araya girən üçüncü tərəfin təqdim etdiyi sertifikatı qəbul edir. Netmaker-in həmin bağlantı vasitəsilə göndərdiyi məktublara birdəfəlik tokenlər ehtiva edən parol sıfırlama mesajları və qeydiyyat linkləri olan istifadəçi dəvətləri daxildir, beləliklə, server və onun poçt relyi arasında yerləşən tərəf ötürülməkdə olan həmin mesajları oxuya və ələ keçirilmiş sıfırlama tokenindən hədəf alıcıdan əvvəl istifadə edə bilər. Bu parametr inkişaf filialında (development branch) yoxdur, lakin son buraxılışda mövcuddur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| gravitl netmaker | v ≤ 1.6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.