CVE-2026-44166
Açıklama
Pocketbase, go ile yazılmış açık kaynaklı bir web arka ucudur. 0.22.42 ve 0.37.4 sürümlerinden önce, bazı durumlarda, bir saldırgan kurbanın e-posta adresini biliyorsa, örneğin "A" gibi OAuth2 uygulama sağlayıcılarından biriyle kimlik doğrulaması yaparak önceden doğrulanmamış bir PocketBase kullanıcısı oluşturabilir ve bağlayabilir. Kurban davet edildiğinde veya kendi başına "B" sağlayıcısıyla uygulamanıza kaydolmaya karar verdiğinde (PocketBase OAuth2 kimlik doğrulaması farklı bir sağlayıcı gerektirir çünkü aynı sağlayıcıdan gelen birden fazla OAuth2 hesabının tek bir PocketBase kullanıcısına ilişkilendirilmesine izin verilmez), saldırgan tarafından daha önce oluşturulan kullanıcı otomatik olarak bağlanacak, durumu "doğrulanmış" olarak yükseltilecek ve eski parolası sıfırlanacaktır. Bu güvenlik açığı 0.22.42 ve 0.37.4 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- pocketbase pocketbase0.22.42, 0.37.4 ya da sonraki bir sürüm
- github.com/pocketbase/pocketbase0.22.42, 0.37.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| pocketbase pocketbase | v < 0.22.42, 0.23.0 ≤ v < 0.37.4 | 0.22.42, 0.37.4 |
| github.com/pocketbase/pocketbaseGo | v < 0.22.42, 0.30.0 ≤ v < 0.37.4 | 0.22.42, 0.37.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.