CVE-2026-35037
Açıklama
Ech0, kişisel fikir paylaşımı için açık kaynaklı ve kendi sunucunuzda barındırabileceğiniz bir yayınlama platformudur. 4.2.8 sürümünden önce, GET /api/website/title uç noktası, website_url sorgu parametresi aracılığıyla rastgele bir URL kabul etmekte ve hedef ana bilgisayar veya IP adresi üzerinde herhangi bir doğrulama yapmadan buraya sunucu taraflı bir HTTP isteği göndermektedir. Uç nokta herhangi bir kimlik doğrulama gerektirmemektedir. Bir saldırgan bunu; dahili ağ servislerine, bulut meta veri uç noktalarına (169.254.169.254) ve localhost üzerinden çalışan servislere erişmek için kullanabilir ve yanıt verilerinin bir kısmını HTML <title> etiketi çıkarımı yoluyla sızdırabilir. Bu güvenlik açığı 4.2.8 sürümünde giderilmiştir.
Nasıl düzeltilir
- ech0 ech04.2.8 ya da sonraki bir sürüm
- github.com/lin-snow/ech01.4.8-0.20260401031029-4ca56fea5ba4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ech0 ech0 | v < 4.2.8 | 4.2.8 |
| github.com/lin-snow/ech0Go | v < 1.4.8-0.20260401031029-4ca56fea5ba4 | 1.4.8-0.20260401031029-4ca56fea5ba4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.