CVE-2026-45090

Dalfox, otomasyona odaklanmış güçlü bir açık kaynaklı XSS tarayıcısı ve aracıdır. 2.13.0 sürümünden önce, pkg/scanning/parameterAnalysis.go içerisindeki ParameterAnalysis, her ikisi de aynı sonuç kanalına yazan iki ardışık işçi aşaması çalıştırır. Kanal, ilk aşama tamamlandıktan sonra doğru şekilde kapatılır (satır 438'deki close(results)), ancak POST gövdesi parametrelerini (dp) işleyen ikinci aşama, çıktı olarak halihazırda kapatılmış olan aynı kanalla başlatılır. Taranan bir parametre yansıtıldığında, processParams kapalı kanal üzerinde results <- paramResult işlemini yürütür ve bu durum tüm dalfox sürecini çökerten bir Go çalışma zamanı paniğine (runtime panic) neden olur. Sunucu modunda çökme, REST API'ye erişebilen herhangi bir kimlik doğrulaması yapılmamış çağrıcı tarafından uzaktan tetiklenebilir; çünkü varsayılan yapılandırmada API anahtarı yoktur ve ikinci aşama, options.Data != "" olduğu sürece (yani saldırgan data alanını sağladığında) ve hedef en az bir parametreyi yansıttığında etkinleşir. Bu güvenlik açığı 2.13.0 sürümünde giderilmiştir.