CVE-2026-26964

Windmill; API'ler, arka plan işleri, iş akışları ve kullanıcı arayüzleri gibi dahili kodlar için açık kaynaklı bir geliştirici platformudur. 1.634.6 ve altı sürümler, yönetici olmayan kullanıcıların yalnızca çalışma alanı yöneticilerinin erişebilmesi gereken Slack OAuth istemci sırlarını (client secrets) elde etmesine izin verir. GET /api/w/{workspace}/workspaces/get_settings uç noktası, yönetici durumuna bakılmaksızın kimliği doğrulanmış herhangi bir çalışma alanı üyesine slack_oauth_client_secret değerini döndürür. Bazı ayarların ön yüzün düzgün çalışması için yönetici olmayan kullanıcılar için bile gerekli olması nedeniyle, bu kullanıcıların çalışma alanı ayarlarının maskelenmiş bir versiyonunu görmesi beklenen bir davranıştır. Ancak, Slack yapılandırmasının yönetici olmayanlara görünmemesi gerekir. Bu durum, ayarın $variable dolaylaması yerine düz bir değer olarak saklandığı ve maskeleme mantığına hiçbir zaman eklenmediği eski bir sorundur. Bu sorun 1.635.0 sürümünde giderilmiştir.