CVE-2026-50569
Açıklama
Fission, Kubernetes üzerinde fonksiyonların ve uygulamaların dağıtımını kolaylaştıran açık kaynaklı, Kubernetes-yerel bir sunucusuz çerçevedir. Versiyon 1.25.0 öncesinde, HTTPTriggerSpec.Validate(); Methods, FunctionReference, Host, IngressConfig ve CorsConfig alanlarını doğrularken, RelativeURL ve Prefix alanlarını sessizce atlamaktaydı. Bu iki alan yalnızca CLI düzeyinde doğrulanmaktaydı (pkg/fission-cli/cmd/httptrigger/create.go:83). HTTPTrigger için CRD modernizasyonu sonrası kullanılan webhook, API-server CEL lehine emekliye ayrılmıştır ve CEL'in de bu alanlar üzerinde herhangi bir kuralı bulunmamaktadır; bu nedenle kubectl apply veya doğrudan bir Kubernetes REST API çağrısı aracılığıyla oluşturulan bir HTTPTrigger, tüm URL düzeyi kontrollerini atlatmıştır. Bu sorun versiyon 1.25.0 ile giderilmiştir.
Nasıl düzeltilir
- github.com/fission/fission1.25.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/fission/fissionGo | v < 1.25.0 | 1.25.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.