CVE-2025-47278
Açıklama
Flask bir web sunucusu ağ geçidi arayüzü (WSGI) web uygulama çerçevesidir. Flask 3.1.0 sürümünde, yedek anahtar yapılandırmasının işlenme biçimi, imzalama için mevcut imzalama anahtarı yerine son yedek anahtarın kullanılmasına neden olmuştur. İmzalama işlemi `itsdangerous` kütüphanesi tarafından sağlanmaktadır. Bir anahtar listesi iletilebilir ve kütüphane, listedeki son (en üstteki) anahtarın en güncel anahtar olmasını bekler ve bunu imzalama için kullanır. Flask bu listeyi yanlışlıkla ters sırada oluşturarak imzalama anahtarını ilk sırada iletmekteydi. `SECRET_KEY_FALLBACKS` ayarını yaparak anahtar rotasyonunu kullanmayı seçen sitelerin, oturumlarını beklenmedik şekilde eski anahtarlarla imzalaması muhtemeldir ve daha yeni anahtarlara geçişleri engellenecektir. Oturumlar hala imzalanmaya devam ettiği için bu durum herhangi bir veri bütünlüğü kaybına yol açmaz. Sürüm 3.1.1, bu sorun için bir yama içermektedir.
Nasıl düzeltilir
- flask3.1.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| flaskPyPI | 3.1.0 ≤ v < 3.1.1 | 3.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.