CVE-2026-84716

automation-controller instansiyasının install-bundle son nöqtəsində (endpoint) çatışmazlıq aşkar edilmişdir. Sistem Administratoru icraetmə/hop düyünün quraşdırma paketini yüklədikdə, kontroller receptor mesh sertifikat mərkəzi ilə X.509 sertifikatını imzalayır və burada Common Name, DNS subject-alternative-name və receptor node-id çağırıcı tərəfindən seçilmiş instansiya hostname-indən olduğu kimi götürülür; həmçinin sabit təyin edilmiş on illik etibarlılıq müddəti, təsadüfi serial nömrəsi tətbiq edilir, lakin buraxılış jurnalı və ya ləğv siyahısı mövcud olmur. Hostname simvol dəsti yoxlayıcısının (validator) böyük/kiçik hərf fərqi nəzərə alınmadıqda işləməsi, unikallıq yoxlayıcısının isə böyük/kiçik hərf fərqinə həssas olması səbəbindən, administrator mövcud idarəetmə düyünün hostname-inin alternativ reyistr variantını qeydiyyata ala bilər və TLS həmyaşıdlarının (peers), hansı ki, hostname-ləri böyük/kiçik hərf fərqi olmadan uyğunlaşdırır, həmin idarəetmə düyünü kimi qəbul etdiyi mesh-CA tərəfindən imzalanmış sertifikatı əldə edə bilər. Müştərinin kontroller superuser hüquqlarına malik olduğu, lakin platforma operatorunun mesh-i idarə etdiyi idarə olunan/host edilən yerləşdirmələrdə bu, uzunmüddətli, ləğv edilə bilməyən mesh həmyaşıdı etibarnaməsinə və şəbəkə yolunda (on-path) mövqe tutduqda, TLS impersonasiyasına və ya idarəetmə/hibrid mesh düyünlərinin kəsilməsinə (interception) gətirib çıxarır. Bu, birbaşa uzaqdan kodun icrasına imkan vermir, çünki receptor işlərinin təqdim edilməsi paketin tərkibinə daxil olmayan ayrıca imzalama açarı ilə məhdudlaşdırılır.