CVE-2026-33503
Açıklama
Ory Kratos, bulut hizmetleri için bir kimlik, kullanıcı yönetimi ve kimlik doğrulama sistemidir. Versiyon 26.2.0 öncesinde, Ory Kratos'taki ListCourierMessages Admin API, sayfalama uygulamasındaki hatalar nedeniyle SQL injection saldırılarına karşı savunmasızdır. Sayfalama belirteçleri (tokens), `secrets.pagination` kısmında yapılandırılan gizli anahtar kullanılarak şifrelenir. Bu gizli anahtarı bilen bir saldırgan, SQL injection ile sonuçlanan kötü niyetli belirteçler de dahil olmak üzere kendi belirteçlerini oluşturabilir. Eğer bu yapılandırma değeri ayarlanmamışsa, Kratos varsayılan bir sayfalama şifreleme gizli anahtarına geri döner. Bu varsayılan değer kamuya açık olarak bilindiği için, saldırganlar bu gizli anahtarın ayarlanmadığı kurulumlarda manuel olarak geçerli ve kötü niyetli sayfalama belirteçleri üretebilirler. İlk savunma hattı olarak, kriptografik olarak güvenli rastgele bir gizli anahtar oluşturarak derhal `secrets.pagination` için özel bir değer yapılandırın. Ardından, mümkün olan en kısa sürede Kratos'u düzeltilmiş versiyon olan 26.2.0 veya daha yeni bir sürüme yükseltin.
Nasıl düzeltilir
- ory kratos26.2.0 ya da sonraki bir sürüm
- github.com/ory/kratos1.3.1-0.20260320110106-9d7085948039 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ory kratos | v < 26.2.0 | 26.2.0 |
| github.com/ory/kratosGo | v < 1.3.1-0.20260320110106-9d7085948039 | 1.3.1-0.20260320110106-9d7085948039 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.