CVE-2026-43915
Açıklama
Coturn, TURN ve STUN Sunucusunun ücretsiz açık kaynaklı bir uygulamasıdır. 4.11.0 öncesindeki sürümler, web-admin HTTPS arayüzünde saklanan bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Özel olarak hazırlanmış bir USERNAME değeri ile TURN tahsisi oluşturabilen bir saldırgan, kimliği doğrulanmış bir web-admin kullanıcısı TURN oturum listesini görüntülediğinde çalışan HTML/JavaScript kodu enjekte edebilir. Anonim TURN erişimi kullanılan yapılandırmalarda (--no-auth), bu durum TURN kimlik bilgileri olmadan istismar edilebilir. Kimlik doğrulamalı dağıtımlarda ise istismar için geçerli TURN kimlik bilgileri veya tanımlanmış bir kullanıcı adı üzerinde kontrol gereklidir. Bu sorun 4.11.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- coturn_project coturn4.11.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coturn_project coturn | v < 4.11.0 | 4.11.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.