CVE-2023-40171

Dispatch, açık kaynaklı bir güvenlik olayı yönetim aracıdır. `Dispatch Plugin - Basic Authentication Provider` eklentisi bir JWT belirtecini çözmeye çalışırken hata ile karşılaştığında, sunucu yanıtı hata mesajında JWT belirteçlerini imzalamak için kullanılan JWT Secret Key bilgisini içermektedir. Kendi örneğine sahip olan ve kimlik doğrulama için `Dispatch Plugin - Basic Authentication Provider` eklentisine güvenen tüm Dispatch kullanıcıları bundan etkilenebilir; bu durum, kendi örnekleri içindeki herhangi bir hesabın ele geçirilmesine izin verir. Bu işlem, gizli anahtar kullanılarak saldırgan tarafından oluşturulmuş JWT'lerin imzalanmasıyla gerçekleştirilebilir. Etkilenmiş olabileceğinizi düşünüyorsanız, `.env` dosyasındaki `DISPATCH_JWT_SECRET` ortam değişkeninde saklanan gizli anahtarı değiştirmeniz şiddetle önerilir. Bu sorun, `20230817` sürümüne dahil edilen `b1942a4319` commit'i ile giderilmiştir. Kullanıcıların yükseltme yapmaları tavsiye edilir. Bu zafiyet için bilinen bir geçici çözüm yoktur.