CVE-2026-13699
Açıklama
Eclipse KUKSA Databroker versiyon 0.6.1'de, kuksa.val.v2.VAL/PublishValue gRPC işleyicisi, PublishValueRequest içindeki isteğe bağlı data_point alanının varlığını doğrulamada başarısız olur. Bir istek geçerli bir signal_id içerdiğinde ancak data_point alanı eksik olduğunda, sunucu doğrudan request.data_point üzerinde unwrap() fonksiyonunu çağırarak Tokio çalışan iş parçacığında (worker thread) bir paniğe (panic) neden olur. Bu sorun, geçerli bir JWT belirtecine sahip herhangi bir istemci tarafından tetiklenebilir. Kimlik doğrulanmamış veya geçersiz belirteç içeren istekler reddedilir ve savunmasız yola ulaşmaz. Panik durumu ilgili gRPC çağrısının iptal edilmesine neden olur ancak sonraki istekler için erişilebilir kalmaya devam eden Databroker işlemini sonlandırmaz.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse kuksa | 0.6.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.