CVE-2026-4984
Açıklama
Twilio entegrasyon webhook işleyicisi, Twilio'nun 'X-Twilio-Signature' bilgisini doğrulamadan herhangi bir POST isteğini kabul etmektedir. Medya mesajlarını işlerken, 'Authorization' başlığında entegrasyonun Twilio kimlik bilgilerini içeren HTTP istekleri kullanarak kullanıcı kontrollü URL'leri ('MediaUrlN' parametreleri) çekmektedir. Bir saldırgan, kendi sunucusuna yönlendiren sahte bir webhook yükü oluşturabilir ve kurbanın 'accountSID' ile 'authToken' bilgilerini düz metin olarak (base64 ile kodlanmış Basic Auth) alarak Twilio hesabının tamamen ele geçirilmesine yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| botpress botpress | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.