CVE-2026-21883
Açıklama
Bokeh, Python ile yazılmış etkileşimli bir görselleştirme kütüphanesidir. 3.8.1 ve altı sürümlerde, eğer bir sunucu izin verilenler listesiyle (örneğin, dashboard.corp) yapılandırılmışsa, bir saldırgan dashboard.corp.attacker.com gibi bir alan adı kaydedebilir (veya uygunsa bir alt alan adı kullanabilir) ve bir kurbanı burayı ziyaret etmeye ikna edebilir. Kötü niyetli site daha sonra savunmasız Bokeh sunucusuna bir WebSocket bağlantısı başlatabilir. Hatalı mantık nedeniyle Origin başlığı (örneğin, http://dashboard.corp.attacker.com/) izin verilenler listesiyle eşleştiğinden, bağlantı kabul edilir. Bağlantı kurulduktan sonra saldırgan, kurban adına Bokeh sunucusuyla etkileşime girebilir, potansiyel olarak hassas verilere erişebilir veya görselleştirmeleri değiştirebilir. Bu sorun 3.8.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- bokeh bokeh3.8.2 ya da sonraki bir sürüm
- bokeh3.8.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| bokeh bokeh | v < 3.8.2 | 3.8.2 |
| bokehPyPI | v < 3.8.2 | 3.8.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.