CVE-2026-33621

PinchTab, yapay zeka ajanlarına bir Chrome tarayıcısı üzerinde doğrudan kontrol sağlayan bağımsız bir HTTP sunucusudur. PinchTab `v0.7.7` ile `v0.8.4` sürümleri arasında, kimlik doğrulamasıyla kontrol edilebilen uç noktalar için eksik istek sınırlama korumaları bulunmaktadır. `v0.7.7` ile `v0.8.3` sürümlerinde, `internal/handlers/middleware.go` dosyasında tam olarak uygulanmış bir `RateLimitMiddleware` mevcuttu ancak üretim HTTP işlemci zincirine eklenmemişti, bu nedenle istekler hedeflenen IP başına sınırlamaya tabi tutulmamıştı. Aynı `v0.8.4` öncesi aralıkta, orijinal sınırlayıcı istemcileri `X-Forwarded-For` kullanarak anahtarlıyordu ve ara yazılım etkinleştirilmiş olsaydı, bu durum istemci kontrollü başlık sahteciliğine izin verecekti. `v0.8.4` sürümü, sınırlayıcıyı canlı işlemci zincirine bağlayarak ve anahtarı doğrudan eş IP adresine geçirerek bu iki sorunu gidermiştir; ancak, bir belirteç yapılandırıldığında `/health` hala kimlik doğrulamasıyla kontrol edilebilir bir uç nokta olmasına rağmen, `/health` ve `/metrics` uç noktalarını hız sınırlamasından muaf tutmaya devam etmiştir. Bu sorun, özellikle zayıf, insan tarafından seçilmiş bir belirteç kullanılıyorsa, bir saldırganın API'ye erişebildiği dağıtımlar için derinlemesine savunmayı zayıflatmaktadır. Bu durum tek başına doğrudan bir kimlik doğrulama atlatma veya belirteç ifşası sorunu değildir. PinchTab varsayılan olarak yerel öncelikli şeklinde belgelenmiştir ve önerilen kurulumda `127.0.0.1` ile oluşturulmuş rastgele bir belirteç kullanır. PinchTab'in varsayılan dağıtım modeli, kullanıcı ile ajanları arasında yerel öncelikli, kullanıcı kontrollü bir ortamdır; daha geniş maruziyet kasıtlı bir operatör tercihidir. Bu durum, hatanın temel özelliklerini tek başına değiştirmese de varsayılan yapılandırmadaki pratik riski düşürmektedir. Bu sorun; `RateLimitMiddleware`'in üretim işlemci zincirine uygulanması, istemci adresinin varsayılan olarak yönlendirilen başlıklara güvenmek yerine doğrudan eş IP'den türetilmesi ve kimlik doğrulamasıyla kontrol edilebilen uç noktaların da sınırlandırılması için `/health` ve `/metrics` muafiyetlerinin kaldırılmasıyla `v0.8.5` sürümünde tamamen giderilmiştir.