CVE-2026-22683
Açıklama
Windmill 1.56.0 ile 1.614.0 arasındaki sürümler, Operator rolüne sahip kullanıcıların backend API üzerinden yasaklanmış varlık oluşturma ve değiştirme eylemlerini gerçekleştirmesine olanak tanıyan bir yetkilendirme eksikliği zafiyeti içermektedir. Operatörlerin varlık oluşturamadığı veya değiştiremediği belgelenmiş ve fiyatlandırılmış olsa da, API çalışma alanı uç noktalarında Operatör kısıtlamasını uygulamamakta; bu durum bir Operatörün script'ler, flow'lar, app'ler ve raw_app'ler oluşturmasına ve güncellemesine izin vermektedir. Operatörler aynı zamanda jobs API aracılığıyla script'leri çalıştırabildiği için, bu durum Windmill dağıtımı içerisinde doğrudan uzaktan kod çalıştırmaya yönelik bir yetki yükseltmeye imkan tanımaktadır. Bu zafiyet, Operator rolünün tanıtıldığı 1.56.0 sürümünden beri mevcuttur.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nextcloud flow | 1.0.0 ≤ v ≤ 1.2.2 | — |
| windmill windmill | 1.56.0 ≤ v ≤ 1.614.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.