CVE-2026-35482
Açıklama
alf.io; konferanslar, ticari fuarlar, çalıştaylar ve buluşmalar için açık kaynaklı bir bilet rezervasyon sistemidir. Versiyon 2.0-M5-2606 öncesinde, alf.io uzantı betik motorundaki bir sandbox kaçış zafiyeti, kimliği doğrulanmış bir yöneticinin sunucu üzerinde rastgele işletim sistemi komutları çalıştırmasına olanak tanır. Uzantı sisteminin, kısıtlanmış JavaScript kodlarını kum havuzuyla korunan (sandboxed) bir Rhino ortamında çalıştırması amaçlanmıştır; ancak, korumasız bir şekilde enjekte edilmiş bir Java nesnesi (`returnClass`) ile eksik bir AST engelleme listesinin kombinasyonu, herhangi bir doğrulama hatasını tetiklemeden Java yansıması (reflection) kullanılarak sandbox'ın tamamen aşılmasına izin verir. Versiyon 2.0-M5-2606 bu sorunu gidermektedir.
Nasıl düzeltilir
- alf alf2.0-M5-2606 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| alf alf | v < 2.0-M5-2606 | 2.0-M5-2606 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.