CVE-2026-100834
Açıklama
6.48.0.0, 5.42.0.0 ve 4.51.0.0 versiyonlarından önceki http4k Digest kimlik doğrulama modülünde (org.http4k:http4k-security-digest), ServerFilters.DigestAuth ve DigestAuthProvider bileşenlerinin nonceVerifier parametresi varsayılan olarak { true } şeklinde ayarlanmıştır; bu nedenle her nonce değeri, içeriğine, yaşına veya daha önce kullanılmış olmasına bakılmaksızın kabul edilir. Bu varsayılan ayara güvenen uygulamalarda Digest kimlik doğrulaması için yeniden oynatma koruması bulunmamaktadır: geçerli bir 'Authorization: Digest' yanıtını yakalayabilen bir saldırgan (örneğin ağ trafiğini izleyerek veya günlükleri okuyarak), bu yanıtı aynı korunan kaynağa karşı süresiz olarak yeniden gönderebilir.
Nasıl düzeltilir
- org.http4k:http4k-security-digest6.48.0.0, 5.42.0.0, 4.51.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4k:http4k-security-digestMaven | 6.0.0.0 ≤ v < 6.48.0.0, 5.0.0.0 ≤ v < 5.42.0.0, v < 4.51.0.0 | 6.48.0.0, 5.42.0.0, 4.51.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.