CVE-2026-44668
Açıklama
FACTION bir PenTesting Rapor Oluşturma ve İş Birliği Çerçevesidir. 1.8.3 sürümünden önce, tüm Struts2 eylemleri için kimlik doğrulama kapısı olan AccessControlInterceptor, geçerli bir oturum kontrolü yapmadan koşulsuz olarak invocation.invoke() fonksiyonunu çağırır. BoilerPlateConfig içindeki dört eylem yöntemi de yerel oturum kontrolü gerçekleştirmez; bu durum, kimlik doğrulaması yapmamış bir saldırganın sistemdeki herhangi bir taslak şablonu okumasına, üzerine yazmasına, devre dışı bırakmasına ve kalıcı olarak silmesine olanak tanır. Bu güvenlik açığı 1.8.3 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| factionsecurity faction | < 1.8.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.