CVE-2026-39972
Açıklama
Mercure, veri güncellemelerini web tarayıcılarına ve diğer HTTP istemcilerine pil verimli bir şekilde iletmek için kullanılan bir protokoldür. 0.22.0 sürümünden önce, TopicSelectorStore bileşenindeki bir önbellek anahtarı çakışması zafiyeti, bir saldırganın eşleşme sonucu önbelleğini zehirlemesine izin vererek özel güncellemelerin yetkisiz abonelere iletilmesine veya yetkili olanlara iletiminin engellenmesine neden olabilir. Önbellek anahtarı, konu seçici ve konunun alt çizgi ayırıcıyla birleştirilmesiyle oluşturuluyordu. Hem konu seçiciler hem de konular alt çizgi içerebildiği için iki farklı çift aynı anahtarı üretebilir. Hub'a abone olabilen veya özel olarak hazırlanmış konu adlarıyla güncelleştirmeler yayınlayabilen bir saldırgan, bunu özel güncellemeler üzerindeki yetkilendirme kontrollerini atlatmak için kullanabilir. Bu zafiyet 0.22.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/dunglas/mercure0.22.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/dunglas/mercureGo | v < 0.22.0 | 0.22.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.