CVE-2026-50197
Açıklama
Skipper, servis kompozisyonu için bir HTTP yönlendiricisi ve ters vekil sunucusudur. 0.26.10 sürümünden önce, zalando/skipper'ın OpenPolicyAgent entegrasyonu; HTTP/1.1 Transfer-Encoding: chunked ve content-length sözde başlığını içermeyen HTTP/2 isteklerinde istek gövdesi denetimini sessizce atlar. Bunun nedeni, filters/openpolicyagent/openpolicyagent.go dosyasındaki opaAuthorizeRequestWithBody filtresinin ve OpenPolicyAgentInstance.ExtractHttpBodyOptionally fonksiyonunun boş bir raw_body ve input.parsed_body üretmesi, ancak üst akış servisinin saldırgan tarafından kontrol edilen tam gövdeyi almasıdır. Bu sorun 0.26.10 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/zalando/skipper0.26.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/zalando/skipperGo | v < 0.26.10 | 0.26.10 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.