CVE-2026-33505

Ory Keto, ölçeklenebilir izin yönetimi için açık kaynaklı bir yetkilendirme sunucusudur. Versiyon 26.2.0 öncesinde, Ory Keto'daki GetRelationships API'si, sayfalama uygulamasındaki hatalar nedeniyle SQL enjeksiyonuna karşı savunmasızdır. Sayfalama belirteçleri (tokens), `secrets.pagination` kısmında yapılandırılan gizli anahtar kullanılarak şifrelenir. Bu gizli anahtarı bilen bir saldırgan, SQL enjeksiyonuna yol açan kötü niyetli belirteçler de dahil olmak üzere kendi belirteçlerini oluşturabilir. Eğer bu yapılandırma değeri ayarlanmamışsa, Keto sabit kodlanmış varsayılan bir sayfalama şifreleme gizli anahtarına geri döner. Bu varsayılan değer kamuya açık olarak bilindiği için, saldırganlar bu gizli anahtarın ayarlanmadığı kurulumlarda manuel olarak geçerli ve kötü niyetli sayfalama belirteçleri üretebilirler. Bu sorun; GetRelationships API'sine doğrudan veya dolaylı olarak erişilebildiğinde, saldırgan etkilenen API'ye ham bir sayfalama belirteci gönderebildiğinde ve `secrets.pagination` yapılandırma değeri ayarlanmadığında veya saldırgan tarafından bilindiğinde istismar edilebilir. Bir saldırgan, sahte sayfalama belirteçleri aracılığıyla rastgele SQL sorguları çalıştırabilir. İlk savunma hattı olarak, kriptografik olarak güvenli rastgele bir gizli anahtar oluşturarak derhal `secrets.pagination` için özel bir değer yapılandırın. Ardından, mümkün olan en kısa sürede Keto'yu düzeltilmiş versiyon olan 26.2.0 veya daha yeni bir sürüme yükseltin.