CVE-2026-41255
Açıklama
CKAN, veri merkezlerini ve veri portallarını destekleyen açık kaynaklı bir DMS'dir (veri yönetim sistemi). 2.10.10 ve 2.11.5 sürümlerinden önce, tokenlar veya kimlik doğrulanmamış istekler aracılığıyla görünümlere erişim, uç noktayı CSRF koruması gerektirmeyen olarak işaretliyordu. Bu işaretleme, flask_app ara yazılımında modül düzeyinde bir değişken olarak saklanan flask-wtf.csrf.CSRFProtect() içindeki bir üye değişkendi. Bu API hiçbir zaman istek düzeyindeki değişiklikler için tasarlanmadı; öncelikle statik yapılandırma için kullanılan bir dekoratördür. Kimlik doğrulanmamış bir istek, korumalı bir uç noktaya ulaşarak ilgili sunucu işlemi (örneğin uwsgi'nin bir worker'ı) boyunca bu uç noktayı CSRF korumasından muaf tutabilirdi. Bu güvenlik açığı 2.10.10 ve 2.11.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- okfn ckan2.10.10, 2.11.5 ya da sonraki bir sürüm
- ckan2.10.10, 2.11.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| okfn ckan | v < 2.10.10, 2.11.0 ≤ v < 2.11.5 | 2.10.10, 2.11.5 |
| ckanPyPI | 2.10.0 ≤ v < 2.10.10, 2.11.0 ≤ v < 2.11.5 | 2.10.10, 2.11.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.