CVE-2026-32890
Açıklama
Anchorr, film ve TV dizileri talep etmek ve bir medya sunucusuna öğeler eklendiğinde bildirimler almak için kullanılan bir Discord botudur. 1.4.1 ve altı sürümlerde, web panelinin User Mapping açılır menüsündeki saklı bir siteler arası betik çalıştırma (XSS) zafiyeti, yapılandırılmış guild içindeki herhangi bir yetkisiz Discord kullanıcısının Anchorr yöneticisinin tarayıcısında rastgele JavaScript kodu çalıştırmasına olanak tanır. Bu durumun, tüm gizli bilgileri düz metin olarak döndüren GET /api/config uç noktasıyla zincirlenmesi sonucunda bir saldırgan; Anchorr'a herhangi bir kimlik doğrulaması yapmadan DISCORD_TOKEN, JELLYFIN_API_KEY, JELLYSEERR_API_KEY, JWT_SECRET, WEBHOOK_SECRET ve bcrypt parola özetlerini içeren Anchorr'da saklanan tüm kimlik bilgilerini sızdırabilir. Bu sorun 1.4.2 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openvessl anchorr | v ≤ 1.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.