CVE-2026-41522
Açıklama
Iris, olay müdahale ekiplerinin incelemeler sırasında teknik detayları paylaşmasına yardımcı olan web tabanlı bir iş birliği platformudur. Versiyon 2.4.28 öncesinde DFIR-IRIS, `/graphql` adresinde REST API ile aynı yetkilendirme kontrollerini uygulamayan isteğe bağlı bir GraphQL uç noktası sunmaktadır. Kimliği doğrulanmış herhangi bir kullanıcı bunu üç şekilde kötüye kullanabilir: vakalar arasında yetkisiz IOC okuma (IDOR), `case.iocs` aracılığıyla toplu IOC ifşası ( `case(caseId: …).iocs` çözücü, çağıran kişinin o vakaya erişimi olduğunu doğrulamadan rastgele bir vakaya bağlı IOC'leri döndürür) ve yetkisiz vaka oluşturma. Rolüne veya vaka ACL'sine bakılmaksızın kimliği doğrulanmış tüm kullanıcılar bu üç işleme erişebilir. Bu durum v2.4.28 sürümünde düzeltilmiştir. Özellik kullanılmadığı için GraphQL blueprint'i, çözücüler ve bağımlılıklar (`graphene`, `graphene-sqlalchemy`, `graphql-server[flask]`) tamamen kaldırılmıştır. Geçici çözüm olarak, ters proxy üzerinde `/graphql` engellenebilir (önerilen) veya `source/app/views.py` dosyasındaki `graphql_blueprint` içe aktarması ve `register_blueprint` çağrısı yorum satırına alınarak sistem yeniden başlatılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dfir-iris iris-web | < 2.4.28 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.