CVE-2026-44719
Açıklama
Mathesar, PostgreSQL veritabanlarıyla çalışmayı hem basit hem de güçlü hale getiren bir web uygulamasıdır. 0.2.0 sürümünden 0.10.0 öncesine kadar; collaborators.list, tables.metadata.list, explorations.list ve forms.list uç noktaları, istek yapan kullanıcının söz konusu veritabanında bir iş birlikçisi olduğunu doğrulamadan database_id kabul etmektedir. Aynı Mathesar kurulumundaki kimliği doğrulanmış bir kullanıcı, bu yöntemleri kullanarak iş birlikçisi olmadıkları veritabanları için Mathesar tarafından yönetilen meta verileri görüntüleyebilir. Kullanılan veritabanına ve özelliklere bağlı olarak, açığa çıkan meta veriler; iş birlikçisi eşlemelerini, tablo meta verilerini, kaydedilmiş keşif meta verilerini ve form meta verilerini içerebilir. Formlar için açığa çıkan meta veriler form jetonlarını (token) içeriyordu. Genel formlar için jetona sahip olmak, genel form bağlantısına sahip olmakla eşdeğerdir ve formun yapılandırılmış PostgreSQL rolü altında forma gönderim yapılmasına olanak tanır. Bu güvenlik açığı 0.10.0 sürümünde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mathesar-foundation mathesar | >= 0.2.0, < 0.10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.