CVE-2026-25060

OpenList Frontend, OpenList için bir kullanıcı arayüzü bileşenidir. 4.1.10 sürümünden önce, tüm depolama sürücüsü iletişimleri için sertifika doğrulaması varsayılan olarak devre dışıdır. internal/conf/config.go dosyasındaki DefaultConfig() fonksiyonunda TlsInsecureSkipVerify ayarı varsayılan olarak true değerine sahiptir. Bu güvenlik açığı, TLS sertifika doğrulamasını devre dışı bırakarak Ortadaki Adam (MitM) saldırılarına olanak tanır ve saldırganların tüm depolama iletişimlerini yakalamasına ve manipüle etmesine izin verir. Saldırganlar bunu; trafiği kötü amaçlı uç noktalara yönlendirmek için ARP spoofing, sahte Wi-Fi erişim noktaları veya ele geçirilmiş dahili ağ ekipmanları gibi ağ düzeyindeki saldırılar aracılığıyla istismar edebilirler. Sertifika doğrulaması atlandığı için sistem, herhangi bir güvenlik uyarısı tetiklemeden saldırgan kontrollü sunucularla farkında olmadan şifreli bağlantılar kuracak; bu da tam şifre çözme, veri hırsızlığı ve tüm depolama işlemlerinin manipülasyonuna imkan sağlayacaktır. Bu güvenlik açığı 4.1.10 sürümünde giderilmiştir.