CVE-2026-40293
Açıklama
OpenFGA, geliştiriciler için oluşturulmuş bir yetkilendirme/izin motorudur. 0.1.4 ile 1.13.1 arasındaki sürümlerde, OpenFGA yerleşik playground etkinleştirilmiş şekilde preshared-key kimlik doğrulaması kullanacak şekilde yapılandırıldığında, yerel sunucu preshared API anahtarını /playground uç noktasının HTML yanıtına dahil eder. /playground uç noktası varsayılan olarak etkindir ve kimlik doğrulaması gerektirmez. Yerel geliştirme ve hata ayıklama için tasarlanmıştır ve üretim ortamlarına açılmak üzere tasarlanmamıştır. Yalnızca OpenFGA'yı `--authn-method` preshared ile, playground etkinleştirilmiş halde ve playground uç noktası localhost veya güvenilir ağların ötesinden erişilebilir şekilde çalıştıranlar risk altındadır. Sorunu gidermek için kullanıcılar OpenFGA v1.14.0 sürümüne yükseltmeli veya `./openfga run --playground-enabled=false` komutunu çalıştırarak playground özelliğini devre dışı bırakmalıdır.
Nasıl düzeltilir
- openfga openfga1.14.0 ya da sonraki bir sürüm
- github.com/openfga/openfga1.14.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openfga openfga | 0.1.4 ≤ v < 1.14.0 | 1.14.0 |
| github.com/openfga/openfgaGo | 0.1.4 ≤ v < 1.14.0 | 1.14.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.