CVE-2026-25050
Açıklama
Vendure açık kaynaklı bir headless ticaret platformudur. Versiyon 3.5.3 öncesinde, `NativeAuthenticationStrategy.authenticate()` metodu, saldırganların geçerli kullanıcı adlarını (e-posta adreslerini) tespit etmelerine olanak tanıyan bir zamanlama saldırısına (timing attack) karşı savunmasızdır. `packages/core/src/config/auth/native-authentication-strategy.ts` dosyasındaki authenticate metodu, kullanıcı bulunamadığında işlemi hemen sonlandırır. Belirgin zamanlama farkı (bcrypt için ~200-400ms'ye karşılık DB kaybı için ~1-5ms), saldırganların mevcut ve mevcut olmayan hesapları güvenilir bir şekilde ayırt etmesine imkan tanır. Versiyon 3.5.3 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- vendure vendure3.5.3 ya da sonraki bir sürüm
- @vendure/core3.5.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vendure vendure | v < 3.5.3 | 3.5.3 |
| @vendure/corenpm | v < 3.5.3 | 3.5.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.