CVE-2026-54047
Açıklama
Laci Synchroni, Dalamud için merkeziyetsiz bir mod ve görünüm senkronizasyon sunucusu ile eklentisidir. Backend'in 1.2.3 öncesindeki sürümleri, uygulamanın OAuth2 giriş akışında hatalı bir kimlik doğrulama zafiyetine sahiptir. Uygulama, kullanıcının yerel `config.json` dosyasındaki `Authentications` nesnesi içinde bulunan `UID` alanına güvenerek istemci tarafı durumuna dayanmaktadır. Bir kullanıcı, giriş yapmadan önce bilgisayarındaki bu yerel dosyayı manuel olarak düzenleyerek rastgele bir UID sağlayabilir. Sunucu, kimliği doğrulanmış OAuth2 kimliğinin talep edilen UID ile eşleştiğini doğrulamadığı için, bir saldırgan herhangi bir hedef kullanıcıyı tamamen taklit edebilir ve onun adına işlemler gerçekleştirebilir. Bu sorun 1.2.3 sürümünde giderilmiştir. Yama, `SecretKeyAuthenticatorService` içindeki `AuthorizeOauthAsync` fonksiyonunu, talep edilen Kullanıcı Kimliği (`requestedUid`) aramasını başarıyla kimliği doğrulanmış kimlik kaydına (`primaryUid`) sıkı bir şekilde bağlayacak şekilde değiştirir. Sunucu, artık doğrulanmış ve kimliği kanıtlanmış veritabanı kaydıyla eşleşmediği sürece talep edilen bir UID için oturum belirteçlerini yüklemeyecek veya döndürmeyecektir. Bilinen bir geçici çözüm mevcut değildir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| LaciSynchroni server | < 1.2.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.