CVE-2026-54136

Windmill, API'ler, arka plan işleri, iş akışları ve kullanıcı arayüzleri için açık kaynaklı bir geliştirici platformudur. 1.715.0 sürümünden önce, kaynak kapsamlı bir API token'ı, GET /api/w/{workspace}/scripts/list_search aracılığıyla izin verilen yol kapsamı dışındaki betik içeriklerini okuyabiliyordu. Rota düzeyindeki kapsam ara yazılımı token alan adını ve eylemini doğruluyor ancak kaynak/yol segmentini uygulamıyordu ve list_search_scripts işleyicisinde betik yolu ve içerik alanlarını döndürmeden önce ek bir check_scopes çağrısı veya satır bazlı filtreleme yoktu. Bu nedenle scripts:read:f/allowed/* gibi bir token, aynı çalışma alanındaki ilgisiz yolların kaynak kodunu alabiliyor ve potansiyel olarak dahili otomasyon mantığını, entegrasyon ayrıntılarını, iş mantığını, satır içi yapılandırmayı veya sabit kodlanmış sırları ve kimlik bilgilerini açığa çıkarabiliyordu. Sömürü, çalışma alanı için geçerli kapsamlı bir API token'ının bulunmasını gerektiriyor ancak yönetici ayrıcalıkları gerektirmiyordu. Bu sorun 1.715.0 sürümünde düzeltilmiştir.