CVE-2023-50713

Speckle Server; Speckle 3D veri platformu için sunucu, ön uç, 3D görüntüleyici ve diğer JavaScript yardımcı programlarını sağlar. 2.17.6 öncesindeki sürümlerde bulunan bir güvenlik açığı, 'token write' kapsamı talep eden bir uygulamaya yetki veren veya frontend-2 kullanarak `token write` kapsamına sahip bir Kişisel Erişim Belirteci (PAT) oluşturan kullanıcıları etkilemektedir. Yeni bir belirteç oluştururken, bir aracının isteği mevcut bir belirteçle ('isteyen belirteç') onaylaması gerekir. Yeni belirteçler oluşturabilmek için isteyen belirtecin token write kapsamına sahip olması zorunludur. Ancak, Speckle server, yeni belirtece verilen diğer ayrıcalıkların, isteyen belirtecin ayrıcalıklarından daha fazla olmadığını doğrulamıyordu. Kötü niyetli bir aktör, yalnızca token write kapsamına sahip bir belirteci kullanarak daha sonra ek ayrıcalıklara sahip başka belirteçler oluşturabilirdi. Bu ayrıcalıklar, yalnızca kullanıcının mevcut ayrıcalıkları kadar yetki sağlardı. Bu güvenlik açığı, bir kullanıcının ayrıcalıklarını yükseltmek veya diğer kullanıcılar adına ayrıcalıklar tanımak için kullanılamaz. Bu sorun 2.17.6 sürümü itibarıyla düzeltilmiştir. Tüm Speckle server operatörleri, sunucularını 2.17.6 veya daha yüksek bir sürüme yükseltmelidir. 'token write' kapsamıyla bir uygulamaya yetki veren veya frontend-2 üzerinde `token write` kapsamıyla bir belirteç oluşturan tüm kullanıcılar, mevcut belirteçleri gözden geçirmeli, tanımadıklarını kalıcı olarak iptal etmeli, mevcut belirteçleri iptal edip yenilerini oluşturmalı ve hesaplarının kullanımını şüpheli etkinliklere karşı incelemelidir. Bu sorun için bilinen herhangi bir geçici çözüm bulunmamaktadır.