CVE-2026-41491
Açıklama
Dapr, bulut ve uç birimlerde dağıtık uygulamalar oluşturmak için taşınabilir, olay güdümlü bir çalışma zamanıdır. 1.3.0 ile 1.15.14 öncesi, 1.16.0-rc.1 ile 1.16.14 öncesi ve 1.17.0-rc.1 ile 1.17.5 öncesi sürümler arasında, metod yollarında ayrılmış URL karakterleri ve dizin gezginliği (path traversal) dizileri kullanılarak servis çağırma işlemleri için erişim kontrol politikalarının atlatılmasına izin veren bir güvenlik açığı bulunmuştur. ACL, metod yolunu dağıtım katmanından bağımsız olarak normalize ettiği için, ACL bir yolu değerlendirirken hedef uygulama farklı bir yol almaktaydı. Bu sorun 1.15.14, 1.16.14 ve 1.17.5 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- linuxfoundation dapr1.15.14, 1.16.14, 1.17.5 ya da sonraki bir sürüm
- github.com/dapr/dapr1.17.5, 1.16.14, 1.15.14 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation dapr | 1.3.0 ≤ v < 1.15.14, 1.16.0 ≤ v < 1.16.14, 1.17.0 ≤ v < 1.17.5 | 1.15.14, 1.16.14, 1.17.5 |
| github.com/dapr/daprGo | 1.17.0-rc.1 ≤ v < 1.17.5, 1.16.0-rc.1 ≤ v < 1.16.14, 1.3.0 ≤ v < 1.15.14 | 1.17.5, 1.16.14, 1.15.14 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.