CVE-2026-53661

Boruta, merkeziyetsiz kimlik spesifikasyonlarına kadar OAuth 2.0 ve Openid Connect'i uygulamayı amaçlayan bağımsız bir yetkilendirme sunucusudur. Versiyon 0.9.1 öncesinde, boruta oturum çerezleri ve kimlik "beni hatırla" çerezi Secure özniteliği olmadan ayarlanmaktaydı. Kullanıcıların aynı Boruta kaynağına şifrelenmemiş HTTP üzerinden erişebildiği dağıtımlarda, tarayıcılar bu çerezleri şifrelenmemiş bir bağlantı üzerinden gönderebilirdi. Bu ağ trafiğini gözlemleyebilen veya araya girebilen bir saldırgan, geçerli bir oturum veya beni-hatırla çerezini ele geçirip etkilenen kullanıcıyı taklit etmek için yeniden kullanabilirdi. Etkilenen bileşenler arasında boruta_web, boruta_identity ve boruta_admin yer almaktadır. Etkilenen çerezler, varsayılan olarak _boruta_web_key olan paylaşılan oturum çerezini ve varsayılan olarak `_boruta_identity_web_user_remember_me` olan kimlik beni-hatırla çerezini içerir. Sorun, versiyon 0.9.1'in bir parçası olarak yayınlanan 18691c655164635066aa113003a3cd87f6ed11cd commit'i ile düzeltilmiştir. Yama, boruta_web, boruta_identity ve boruta_admin için yapılandırılmış oturum çerezlerinde `secure: true` ve `same_site: "Lax"` değerlerini ayarlar ve kimlik beni-hatırla çerezinde `secure: true` değerini ayarlar. Düzeltmeyi içeren bir sürüme yükseltilene kadar: istekler Boruta'ya ulaşmadan önce şifrelenmemiş HTTP bağlantılarını sonlandırın veya reddedin; ters proxy veya yük dengeleyici üzerinde yalnızca HTTPS erişimini zorunlu kılın; Boruta alan adları için HSTS'yi etkinleştirin; çerezlerin açığa çıktığından şüpheleniliyorsa SECRET_KEY_BASE ve BORUTA_SESSION_COOKIE_SIGNING_SALT değerlerini döndürün ve ardından kullanıcıların yeniden kimlik doğrulamalarını isteyin. 18691c655164635066aa113003a3cd87f6ed11cd commit'ini içeren bir sürüme yükseltin veya yamayı manuel olarak uygulayın. Düzeltmeyi dağıttıktan sonra, Boruta oturum ve beni-hatırla çerezlerinin Secure özniteliğini içerdiğini tarayıcı geliştirici araçlarıyla veya bir HTTP yanıt inceleme aracıyla doğrulayın.