CVE-2026-49254

Dragonfly, açık kaynaklı P2P tabanlı bir dosya dağıtım ve imaj hızlandırma sistemidir. 2.4.4 sürümünden önce, manager/router/router.go dosyası GET /api/v1/oauth ve GET /api/v1/oauth/:id uç noktalarını jwt.MiddlewareFunc() veya RBAC() olmadan kaydetmektedir; bu sırada manager/handlers/oauth.go dosyası models.Oauth kayıtlarını döndürmekte ve manager/models/oauth.go dosyası Oauth.ClientSecret değerini JSON içerisinde client_secret olarak açığa çıkarmaktadır. Bir yönetici GitHub veya Google OAuth sağlayıcısını yapılandırdığında, kimliği doğrulanmamış bir ağ istemcisi GetOauth veya GetOauths fonksiyonlarına erişebilir, saklanan models.Oauth kaydını yükleyebilir ve sağlayıcının istemci sırrını (client secret), istemci tanımlayıcısını (client identifier) ve yönlendirme URL'sini elde edebilir. Daha önceki GHSA-j8hf-cp34-g4j7 düzeltmesi yalnızca /jobs grubunu korumuş ve bu OAuth GET işleyicilerini korumamıştır. client_secret bilgisinin ifşa edilmesi, sağlayıcının yönlendirme URI kısıtlamalarına bağlı olarak, yapılandırılmış kimlik sağlayıcı entegrasyonunun kötüye kullanılmasına olanak tanıyabilir. Bu sorun 2.4.4 sürümünde giderilmiştir.