CVE-2026-39911
Açıklama
Hashgraph Guardian'ın 3.5.1 sürümü dahil versiyonları (commit 45fbe2f ile düzeltildi), Custom Logic politika bloğu çalışanında kum havuzu dışı bir JavaScript yürütme zafiyeti içermektedir; bu durum, kimliği doğrulanmış Standard Registry kullanıcılarının, kullanıcı tarafından sağlanan JavaScript ifadelerini izolasyon olmaksızın doğrudan Node.js Function() yapıcısına aktararak rastgele kod çalıştırmasına olanak tanır. Saldırganlar, konteyner dosya sisteminden rastgele dosyaları okumak, RSA özel anahtarları, JWT imzalama anahtarları ve API belirteçleri gibi hassas kimlik bilgileri içeren işlem ortam değişkenlerine erişmek ve yöneticiler dahil herhangi bir kullanıcı için geçerli kimlik doğrulama belirteçleri oluşturmak amacıyla yerel Node.js modüllerini içe aktarabilirler.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hedera guardian | v ≤ 3.5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.