CVE-2026-85076
Təsvir
Cronicle veb əsaslı ön uç interfeysinə malik çoxserverli tapşırıq planlayıcısı və icraçısıdır. 0.9.124 versiyasından əvvəl, run_events, create_events və ya edit_events imtiyazlarına malik autentifikasiya olunmuş qeyri-administrator api_create_event, api_update_event və ya api_run_event vasitəsilə hadisə parametrlərində elan edilməmiş açarlar təqdim edə bilər. lib/api.js və lib/api/event.js faylları parametr obyektini onun açarlarını məhdudlaşdırmadan yoxlayır, lib/job.js isə həmin açarları böyük hərflərə çevirir və onları administrator tərəfindən müəyyən edilmiş plagin dəyişənlərindən sonra alt proses mühitinə tətbiq edir. Təhlükəsizlik baxımından kritik olan mühit dəyişəni ilə toqquşan bir açar, buna görə də plagin icra kontekstini əvəz edə bilər və plugindən və iş vaxtından asılı olaraq imtiyazların yüksəldilməsinə, ixtiyari kodun icrasına, məlumatlara girişə və ya xidmətin pozulmasına səbəb ola bilər. Bu problem 0.9.124 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| jhuckaby Cronicle | < 0.9.124 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.