CVE-2026-104059
Açıklama
Lektor 3.3.14 ve 3.4.0b15 sürümleri, kimlik doğrulaması yapmamış saldırganların; CSRF belirteçleri, Origin/Referer doğrulaması, CORS yapılandırması veya Host izin listesi olmaksızın çapraz kökenli istekler göndererek durum değiştirici işlemler gerçekleştirmesine olanak tanıyan, admin API blueprint bileşeninde bir siteler arası istek sahteciliği (CSRF) zafiyeti içermektedir. Saldırganlar, kötü amaçlı bir web sayfası üzerinden newattachment, deleterecord, build, clean ve publish uç noktalarını kullanarak rastgele dosyalar yazabilir, sayfaları silebilir, derleme çıktılarını temizleyebilir, dağıtım yayınlamayı tetikleyebilir ve DNS yeniden bağlama yoluyla veri ifşa etmek için okuma uç noktalarına erişebilirler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| lektor lektor | v ≤ 3.3.14, 3.4.0b1 ≤ v ≤ 3.4.0b15 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.