CVE-2026-105945

Pulsar Packages Management Service, filesystem storage provider kullanılarak paketlerin broker'ın yerel dosya sisteminde saklanacak şekilde yapılandırılabilir. Paket isimleri; bir tip, tenant, namespace, isim ve versiyondan oluşur. Paket işlemlerinin yetkilendirmesi yalnızca tenant ve namespace üzerinden yapılırken, bir paketin depolama konumu tüm bu bileşenlerden türetilir. Bir paket isminin versiyon bileşeni doğrulanmadığı için URL ile kodlanmış yol ayırıcılar ve üst dizin referansları içerebilmektedir. Filesystem storage provider, böyle bir versiyonu farklı bir tenant veya namespace'e ait olan bir paketin konumuna çözümlemiştir. Bu konum yapılandırılmış depolama dizini içinde olduğu için, filesystem storage provider'ın güncel sürümlerde gerçekleştirdiği kapsama kontrolü erişimi engellememiştir. Herhangi bir namespace üzerinde paket iznine sahip kimliği doğrulanmış bir kullanıcı, bunu kullanarak izin sahibi olmadığı diğer tenant veya namespace'lerde saklanan paketleri indirebilir, üzerine yazabilir veya silebilir. Bu şekilde üzerine yazılan veya silinen paketler Pulsar Functions, Sources veya Sinks tarafından kullanılabileceğinden, sorun bu bileşenlerin bütünlüğünü ve kullanılabilirliğini etkileyebilir. Kimlik doğrulama devre dışıysa, işlemler broker'ın admin REST API'sine erişebilen her istemci için kullanılabilirdir. Bu sorun yalnızca paket yönetiminin broker ayarı enablePackagesManagement ile etkinleştirildiği ve filesystem storage provider (FileSystemPackagesStorageProvider) ayarının packagesManagementStorageProvider ile yapılandırıldığı dağıtımları etkiler. Paket yönetimi varsayılan olarak devre dışıdır ve paketleri Apache BookKeeper'da saklayan varsayılan depolama sağlayıcısı etkilenmemektedir. Bu sorun, 4.0.14 öncesindeki 2.10.0'dan başlayan Apache Pulsar versiyonlarını ve 4.2.5 öncesindeki 4.1.0'dan başlayan versiyonları etkilemektedir. - 4.0.x versiyon kullanıcıları en az 4.0.14 sürümüne yükseltmelidir. - 4.1.x ve 4.2.x versiyon kullanıcıları en az 4.2.5 sürümüne yükseltmelidir. Yukarıda listelenenlerden önceki versiyonları kullanan kullanıcılar, belirtilen yamalı versiyonlara veya daha yeni versiyonlara yükseltme yapmalıdır. Şu anda desteklenen Apache Pulsar sürüm hatları 4.0.x ve 5.0.x'tir. Desteklenen versiyon takvimine https://pulsar.apache.org/contribute/release-policy/ adresinden ulaşılabilir.