CVE-2026-50554
Açıklama
Note Mark açık kaynaklı bir not alma uygulamasıdır. Versiyon 0.19.5 öncesinde, GET /api/books/{bookID}/notes uç noktası kimlik doğrulaması gerektirmeyen ve "deleted" sorgu parametresini kabul eden bir uç noktadır. İstek ?deleted=true olduğunda, servis sorguyu Unscoped() ile çalıştırır (GORM'un soft-delete kapsamını atlar) ancak okuma yetkilendirme yan tümcesini "owner_id = ? OR is_public = ?" şeklinde tutar. Sonuç olarak, herhangi bir kimlik doğrulanmamış çağrıcı, herhangi bir genel kitaba ait soft-delete edilmiş ("çöp kutusundaki") notların meta verilerini listeleyebilir; bu notlar sahibinin açıkça sildiği ve genel görünümden kaldırılmasını beklediği notlardır. Bu sorun versiyon 0.19.5 ile düzeltilmiştir.
Nasıl düzeltilir
- github.com/enchant97/note-mark/backend0.0.0-20260601210758-9c9b72740f22 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/enchant97/note-mark/backendGo | v < 0.0.0-20260601210758-9c9b72740f22 | 0.0.0-20260601210758-9c9b72740f22 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.