CVE-2026-52792
Açıklama
Algernon, küçük ve bağımsız bir saf Go web sunucusudur. 1.17.9 sürümünden önce, Windows üzerindeki Algernon, engine/handlers.go dosyasındaki bir dosya işleyicisini seçerken x.lua::$DATA, x.lua. ve x.lua gibi NTFS eşdeğer isimlerini önceden reddetmeden filepath.Ext() fonksiyonunu çağırır. Kimliği doğrulanmamış bir istemci; .lua, .tl, .po2, .amber veya .frm uzantısına sahip genel bir sunucu tarafı betiğine bu soneklerden birini ekleyebilir. İstek yolu, utils/files.go içindeki URL2filename üzerinden geçer, oluşturucu (renderer) ve yürütme durumlarını atlar; FilePage, os.Open, ReadAndLogErrors ve ToClient aşamalarına ulaşırken, NTFS takma adı temel betikle ilişkilendirir. Sonuç olarak sunucu, ham betik kaynağını döndürür ve veritabanı kimlik bilgilerini, API anahtarlarını ve sahte oturum çerezlerine izin verebilecek olan SetCookieSecret değerini ifşa edebilir. Linux ve macOS ana bilgisayiler bu sorundan etkilenmemektedir. Bu sorun 1.17.9 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/xyproto/algernon1.17.9 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/xyproto/algernonGo | v < 1.17.9 | 1.17.9 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.