CVE-2026-28355

Canarytokens ağ üzerindeki etkinliklerin ve eylemlerin izlenmesine yardımcı olur. `sha-7ff0e12` öncesindeki sürümlerde, "PWA" Canarytoken içerisinde, Canarytoken oluşturucusunun kendisine veya bağlantıyı paylaştığı birine saldırabileceği bir Self Cross-Site Scripting zafiyeti bulunmaktadır. Bir PWA Canarytoken oluşturucusu, PWA token'ının başlık alanına Javascript yerleştirebilir. Oluşturucu daha sonra kendi Canarytoken'ı için kurulum sayfasını ziyaret ettiğinde, Javascript çalışır. Bu bir self-XSS'dir. Bir saldırgan bu self-XSS ile bir Canarytoken oluşturabilir ve kurulum bağlantısını bir kurbana gönderebilir. Kurban bağlantıya tıkladığında Javascript çalışacaktır. Ancak, kötü niyetli aktöre herhangi bir hassas bilgi (örneğin oturum bilgileri) ifşa edilmeyecektir. Bu sorun Canarytokens.org üzerinde yamalanmıştır. Kendi sunucusunda Canarytokens kullanan kullanıcılar, en güncel Docker imajını veya `sha-7ff0e12` sonrası herhangi bir Docker imajını çekerek güncelleme yapabilirler.