CVE-2026-25742
Açıklama
Zulip açık kaynaklı bir ekip iş birliği aracıdır. Versiyon 1.4.0 ile versiyon 11.6 öncesi arasındaki sürümlerde, izleyici erişimi (enable_spectator_access / WEB_PUBLIC_STREAMS_ENABLED) devre dışı bırakılsa bile, web-public akışlarından gelen ekler hala anonim olarak alınabilmektedir. Sonuç olarak, genel erişimin devre dışı bırakılması amaçlandıktan sonra bile dosya içerikleri erişilebilir kalmaktadır. Benzer şekilde, izleyici erişimi devre dışı bırakıldıktan sonra dahi /users/me/<stream_id>/topics uç noktası anonim olarak erişilebilir kalmakta ve web-public akışlar için konu geçmişinin alınmasına izin vermektedir. Bu sorun versiyon 11.6'da düzeltilmiştir.
Nasıl düzeltilir
- zulip zulip11.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| zulip zulip | 1.4.0 ≤ v < 11.6 | 11.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.