CVE-2026-53912

Cerebrate 1.37 versiyonundan önceki sürümler, kendi kendine kayıt (self-registration) isteklerinden kimlik bilgisi materyallerini ifşa ediyordu. Kendi kendine kayıt iş akışı, kayıt olan kişinin özetlenmiş (hashed) parolasını gelen kutusu mesaj veri yükünde saklıyordu. Bu veri yükü; HTML, JSON ve CSV çıktıları dahil olmak üzere gelen kutusu dizin ve görüntüleme yanıtları aracılığıyla sansürlenmeden döndürülüyordu ve ayrıca gelen kutusu mesajı için denetim günlüğü (audit log) girişlerine sansürlenmeden yazılabiliyordu. Gelen kutusu girişlerine veya ilgili denetim günlüklerine erişmek için yeterli ayrıcalığa sahip kimliği doğrulanmış bir kullanıcı, bekleyen kendi kendine kayıt istekleriyle ilişkili parola özetlerini elde edebilirdi. İfşa edilen değer düz metin bir parola yerine bir parola özeti olsa da, parola özetlerinin açığa çıkması çevrimdışı parola kırma girişimlerini mümkün kılabilir ve kullanıcıların parolaları farklı sistemlerde yeniden kullandığı durumlarda riski artırabilir. Cerebrate 1.37, hesap oluşturma işlemi için saklanan kayıt veri yükünü olduğu gibi bırakırken, hassas parola ve authkey alanlarını gelen kutusu ekranı/API çıktılarından sansürleyerek ve denetim günlüklerine yazılan JSON değerlerindeki bu alanları özyinelemeli olarak sansürleyerek sorunu gidermektedir. Etkilenen bileşen: Inbox self-registration request handling and audit logging Düzeltilen versiyon: Cerebrate 1.37