CVE-2026-102603
Açıklama
Gotify server, WebSocket üzerinden gerçek zamanlı mesaj göndermek ve almak için kullanılan basit bir sunucudur. 3.0.0 sürümünden önce, şifre değiştirme uç noktası (POST /current/user/password), hesabın mevcut şifresini veya başka bir üst düzey kimlik doğrulama adımını gerektirmeden geçerli bir istemci belirtecinin (client token) kabul edilmesine izin vermektedir. Bir istemci belirteci elde eden saldırgan, ilgili kullanıcı için yeni bir şifre belirleyerek şifre kimlik doğrulamasının kontrolünü ele geçirebilir ve hesap kurtarma işlemini bir yönetici veya doğrudan veritabanı erişimi aracılığıyla zorunlu kılabilir. Bu sorun 3.0.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/gotify/server/v33.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/gotify/server/v2Go | v ≤ 2.9.1, Aralık belirtilmemiş | — |
| github.com/gotify/server/v3Go | v < 3.0.0 | 3.0.0 |
| github.com/gotify/serverGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.