CVE-2026-46431
Açıklama
Algernon, küçük ve bağımsız bir pure-Go web sunucusudur. 1.17.7 sürümünden önce, SSE olay sunucusunun Access-Control-Allow-Origin yanıt üstbilgisi, çağıranın Origin değerine bakılmaksızın sabit olarak joker karakter (*) şeklinde belirlenmişti. EventSource ön uç kontrolü (preflight) yapmadığı ve çerez göndermediği için, bu joker karakter herhangi bir üçüncü taraf sayfasının geliştiricinin ziyaret ettiği sayfadan SSE portuna çapraz kökenli (cross-origin) bir EventSource açmasına ve canlı dosya adı akışını JavaScript üzerinden okumasına izin vermek için yeterlidir. Bu güvenlik açığı 1.17.7 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/xyproto/algernon1.17.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/xyproto/algernonGo | v < 1.17.7 | 1.17.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.