CVE-2026-34076
Açıklama
Clerk JavaScript, Clerk kimlik doğrulaması için resmi JavaScript deposudur. @clerk/hono 0.1.0 ile 0.1.5 öncesi sürümlerinde, @clerk/express 2.0.0 ile 2.0.7 öncesi sürümlerinde, @clerk/backend 3.0.0 ile 3.2.3 öncesi sürümlerinde ve @clerk/fastify 3.1.0 ile 3.1.5 öncesi sürümlerinde, @clerk/backend içerisindeki clerkFrontendApiProxy fonksiyonu Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyetine sahiptir. Kimliği doğrulanmamış bir saldırgan, proxy'nin uygulamanın Clerk-Secret-Key bilgisini saldırgan tarafından kontrol edilen bir sunucuya göndermesine neden olan bir istek yolu oluşturabilir. Bu sorun @clerk/hono sürüm 0.1.5, @clerk/express sürüm 2.0.7, @clerk/backend sürüm 3.2.3 ve @clerk/fastify sürüm 3.1.5 ile giderilmiştir.
Nasıl düzeltilir
- @clerk/backend3.2.3 ya da sonraki bir sürüm
- @clerk/express2.0.7 ya da sonraki bir sürüm
- @clerk/hono0.1.5 ya da sonraki bir sürüm
- @clerk/fastify3.1.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @clerk/backendnpm | 3.0.0 ≤ v < 3.2.3 | 3.2.3 |
| @clerk/expressnpm | 2.0.0 ≤ v < 2.0.7 | 2.0.7 |
| @clerk/hononpm | 0.1.0 ≤ v < 0.1.5 | 0.1.5 |
| @clerk/fastifynpm | 3.1.0 ≤ v < 3.1.5 | 3.1.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.