CVE-2026-35514
Açıklama
Chartbrew, veri tabanlarına ve API'lere doğrudan bağlanabilen ve bu verileri grafikler oluşturmak için kullanan açık kaynaklı bir web uygulamasıdır. Versiyon 4.9.0'da, POST /user/invited uç noktası herhangi bir davet belirteci (invite token), kimlik doğrulama üst bilgisi veya oturumu doğrulamamaktadır. Kimliği doğrulanmamış herhangi bir saldırgan, örnekte mevcut kullanıcılar olsa ve signupRestricted etkinleştirilmiş olsa bile, tamamen aktif bir hesap oluşturmak ve geçerli bir JWT almak için bu uç noktayı doğrudan çağırabilir. Bu atlatma işlemi, signupRestricted kuralını uygulayan ve doğrulama bekleyen hesaplar için active: false değerini ayarlayan normal kayıt uç noktasından (POST /user) farklıdır. Bu sorun versiyon 5.0.0 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chartbrew chartbrew | = 4.9.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.