CVE-2026-40302
Açıklama
zrok; web servislerini, dosyaları ve ağ kaynaklarını paylaşmak için kullanılan bir yazılımdır. Versiyon 2.0.1 öncesinde, proxyUi şablon motoru html/template yerine Go'nun text/template (HTML kaçış işlemleri yapmayan) paketini kullanmaktadır. Hem publicProxy hem de dynamicProxy içerisindeki GitHub OAuth geri çağırma işleyicileri, time.ParseDuration başarısız olduğunda saldırgan tarafından kontrol edilen refreshInterval sorgu parametresini olduğu gibi bir hata mesajına eklemekte ve bu hatayı HTML içinde kaçış işlemi yapılmadan oluşturmaktadır. Bir saldırgan, kurbanına özel olarak hazırlanmış bir giriş URL'si gönderebilir; kurban GitHub OAuth akışını tamamladıktan sonra, geri çağırma sayfası OAuth sunucusunun kökeninde rastgele JavaScript kodu çalıştırır. Versiyon 2.0.1 bu sorunu gidermektedir.
Nasıl düzeltilir
- netfoundry zrok2.0.1 ya da sonraki bir sürüm
- github.com/openziti/zrok/v22.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netfoundry zrok | v < 2.0.1 | 2.0.1 |
| github.com/openziti/zrokGo | v ≤ 1.1.11, Aralık belirtilmemiş | — |
| github.com/openziti/zrok/v2Go | v < 2.0.1 | 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.