CVE-2026-11500
Açıklama
Weaviate'in 1.37.7 sürümüne kadar olan versiyonlarında bir güvenlik açığı tespit edilmiştir. Bu açık, Static API Key Handler bileşeninin usecases/auth/authentication/apikey/client.go dosyasındaki validateConfig fonksiyonunu etkilemektedir. StaticApiKey argümanının manipüle edilmesi, kimlik doğrulama atlatmaya yol açmaktadır. Saldırının uzaktan başlatılması mümkündür. Bir saldırının karmaşıklık düzeyi oldukça yüksektir ve istismar edilebilirliğinin zor olduğu belirtilmiştir. İstismar kodu halka açıktır ve kullanılabilir. Versiyonun 1.38.0-rc.0 sürümüne yükseltilmesi bu sorunu çözmektedir. Yamanın tanımlayıcısı 40f2cc32279f0f8a51016c3c6870a2c0c808e6c0 şeklindedir. Etkilenen bileşeni yükseltmeniz önerilir.
Nasıl düzeltilir
- github.com/weaviate/weaviate1.38.0-rc.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/weaviate/weaviateGo | v < 1.38.0-rc.0 | 1.38.0-rc.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.