CVE-2026-89186

ZenHive mpp-də həssas məlumatlar ehtiva edən keşdən istifadə, ortaq HTTP keşinin ödənişli cavabı saxlamağına və onu heç vaxt ödəniş etməmiş müştərilərə təqdim etməsinə şərait yaradır. lib/mpp/plug.ex faylındakı MPP.Plug.verify_credential funksiyası, bükülmüş tətbiq işə düşməzdən əvvəl bağlantıda payment-receipt və cache-control: private başlıqlarını təyin edir və heç bir register_before_send/2 geri çağırışını qeydiyyata almır. Plug.Conn.put_resp_header/3 mövcud başlığı əvəz etdiyi üçün, ödənişli resursda öz cache-control parametrini (məsələn, public, max-age=3600) təyin edən quraşdırılmış tətbiq, kitabxananın güvəndiyi private parametrinə səssizcə üstünlük verir və beləliklə, CDN və ya reverse proxy ödənişli 200 cavabını onun Payment-Receipt başlığı ilə birlikdə saxlaya və hər ikisini ödəniş etməmiş müştərilərə təqdim edə bilər. Buna görə də, kitabxana səviyyəsindəki zəmanət qoruduğu tətbiq tərəfindən sıradan çıxarıla bilir. Eyni səbəbdən, aşağı axındakı non-2xx cavabı hələ də Payment-Receipt daşıyırdı ki, bu da heç bir resurs təqdim etməyən cavab üçün qəbz 발행 edilməsi deməkdir. Bu problem mpp versiya 0.1.0-dan 0.16.2-yə qədər olan versiyalara təsir edir.