CVE-2026-41418
Açıklama
4ga Boards, gerçek zamanlı proje yönetimi için bir tahta sistemidir. 3.3.5 sürümünden önce 4ga Boards, giriş uç noktasındaki (POST /api/access-tokens) bir zamanlama yan kanal saldırısı aracılığıyla kullanıcı numaralandırmaya karşı savunmasızdır. Geçersiz bir kullanıcı adı/e-posta sağlandığında sunucu hemen yanıt verir (ortalama ~17ms). Doğru bir kullanıcı adı/e-posta ile yanlış bir şifre sağlandığında ise sunucu, yanıt vermeden önce bir bcrypt.compareSync() işlemi gerçekleştirir (ortalama ~74ms). Bu yaklaşık 4,4 katlık zamanlama farkı, ağ üzerinden bile kolayca tespit edilebilir; tek bir istek yeterlidir. Bu güvenlik açığı 3.3.5 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| RARgames 4gaBoards | < 3.3.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.