CVE-2026-105936

Pulsar Functions worker REST API, functions worker üzerinde yüklü olan Pulsar IO konektörleri kataloğunu döndüren iki uç nokta sağlar: worker konektörleri uç noktası (/admin/v2/worker/connectors) ve kullanımdan kaldırılmış functions konektörleri uç noktası (/admin/v2/functions/connectors ve /admin/v3/functions/connectors). Yetkilendirme etkinleştirildiğinde, worker konektörleri uç noktası süper kullanıcı erişimi gerektirir. Hem functions worker hem de functions worker çalıştıran bir broker tarafından sunulan functions konektörleri uç noktası ise aynı kataloğu bu kontrol olmadan döndürür. Sonuç olarak, kimlik doğrulama ve yetkilendirme etkin olduğunda, herhangi bir kimliği doğrulanmış istemci, rolüne tanınan izinlerden bağımsız olarak ve süper kullanıcı erişimine sahip olmadan functions konektörleri uç noktası üzerinden konektör kataloğunu okuyabilir. Anonim bir kullanıcı rolü ile anonim erişim yapılandırılmadığı sürece, kimliği doğrulanmamış istekler reddedilir. Katalog, functions worker'ın connectors dizinine yüklü olan konektör tipi tanımlarını içerir: konektör adı, açıklaması ve source, sink ve konfigürasyon sınıf isimleri. Yapılandırılmış source veya sink örneklerini, bunların konfigürasyon değerlerini veya kimlik bilgilerini içermez; ayrıca yüklü bir konektör tipi, bir konektörün yapılandırıldığı veya çalıştığı anlamına gelmez. Etki, operatör tarafından yüklenen özel konektörlerin adlarını ve açıklamalarını içerebilen bu meta verilerin ifşasıyla sınırlıdır. Sorun, kataloğun değiştirilmesine veya konektörlerin yönetilmesine izin vermez. Source veya sink sınıfına sahip konektör tanımları, yerleşik sources ve sinks uç noktaları tarafından da kimliği doğrulanmış istemcilere döndürülür. Düzeltilen sürümlerde, functions konektörleri uç noktası, worker konektörleri uç noktası ile aynı kontrolleri uygular, böylece yetkilendirme etkin olduğunda süper kullanıcı erişimi gerektirir. Süper kullanıcı olmayan istemciler, mevcut konektör tiplerini listelemek için yerleşik sources ve sinks uç noktalarını kullanabilirler. Bu sorun, 4.0.14 öncesindeki 2.4.1'den başlayan Apache Pulsar sürümlerini ve 4.2.5 öncesindeki 4.1.0'dan başlayan sürümleri etkilemektedir. - 4.0.x sürüm kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x sürüm kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenen sürümlerden önceki sürümleri kullanan kullanıcılar, yukarıda belirtilen yamalanmış sürümlere veya daha yeni sürümlere yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar yayın hatları 4.0.x ve 5.0.x'tir. Desteklenen sürümler takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir.