CVE-2026-2836

Pingora HTTP proxy framework'ünün varsayılan önbellek anahtarı oluşturma sürecinde bir önbellek zehirleme (cache poisoning) zafiyeti bulunmuştur. Sorun, varsayılan HTTP önbellek anahtarı uygulamasının, host başlığı (authority) gibi kritik faktörleri hariç tutarak yalnızca URI yolunu kullanarak önbellek anahtarları oluşturmasından kaynaklanmaktadır. Varsayılana güvenen operatörler önbellek zehirlemeye karşı savunmasızdır ve kullanıcılara hatalı şekilde farklı kökenli yanıtlar sunulabilir. Etki Bu zafiyet, Pingora'nın alfa aşamasındaki proxy önbellekleme özelliğini kullanan ve varsayılan CacheKey uygulamasına güvenen kullanıcıları etkilemektedir. Bir saldırgan bunu şu amaçlarla istismar edebilir: * Kiracı arası veri sızıntısı: Çok kiracılı dağıtımlarda, bir kiracıdaki kullanıcıların başka bir kiracıdan gelen önbelleğe alınmış yanıtları alması için önbelleği zehirlemek. * Önbellek zehirleme saldırıları: Paylaşılan önbellek girişlerini zehirleyerek meşru kullanıcılara kötü amaçlı içerik sunmak. Cloudflare'in CDN altyapısı bu zafiyetten etkilenmemiştir; çünkü Cloudflare'in varsayılan önbellek anahtarı uygulaması, önbellek anahtarı zehirlemesini önlemek için birden fazla faktör kullanır ve daha önce sağlanan varsayılan özelliği hiçbir zaman kullanmamıştır. Azaltma: Pingora kullanıcılarının, güvensiz varsayılan önbellek anahtarı uygulamasını kaldıran Pingora v0.8.0 veya daha yüksek bir sürüme yükseltmeleri şiddetle önerilir. Kullanıcılar artık Host başlığı, orijinal sunucu HTTP şeması ve önbelleğin değişmesi gereken diğer öznitelikler gibi uygun faktörleri içeren kendi geri çağırma (callback) fonksiyonlarını açıkça uygulamalıdır. Önceki sürümleri kullanan Pingora kullanıcıları, tüm varsayılan CacheKey kullanımlarını kaldırabilir ve en azından host başlığını / authority bilgisini ve üst akış eşinin (upstream peer) HTTP şemasını içeren kendi uygulamalarını geliştirebilirler.