CVE-2026-39371
Açıklama
RedwoodSDK, sunucu öncelikli bir React çatısıdır. 1.0.0-beta.50 ile 1.0.5 arasında, "use server" dosyalarından dışa aktarılan sunucu işlevleri GET istekleri aracılığıyla çağrılabiliyor ve amaçlanan HTTP yöntemlerini atlatabiliyordu. Çerezle kimlik doğrulaması yapılan uygulamalarda bu durum, tarayıcıların üst düzey GET isteklerinde SameSite=Lax çerezlerini göndermesi nedeniyle siteler arası GET yönlendirmelerinin durum değiştiren işlevleri tetiklemesine olanak tanıyordu. Bu, tüm sunucu işlevlerini etkiliyordu -- hem serverAction() işleyicilerini hem de "use server" dosyalarındaki çıplak dışa aktarılan işlevleri. Bu güvenlik açığı 1.0.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- redwoodjs redwoodsdk1.0.6 ya da sonraki bir sürüm
- rwsdk1.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redwoodjs redwoodsdk | 1.0.1 ≤ v < 1.0.6, 1.0.0 | 1.0.6 |
| rwsdknpm | 1.0.0-beta.50 ≤ v < 1.0.6 | 1.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.