CVE-2026-54147
Açıklama
http4k, Kotlin HTTP uygulamaları için fonksiyonel bir araç takımıdır. 4.51.0.0, 5.42.0.0 ve 6.50.0.0 sürümlerinden önce, http4k-security-digest içerisindeki DigestAuthProvider.verify, yapılandırılmış algorithm parametresini yoksayar ve her Digest yanıtını sabitlenmiş MD5 ile doğrular. Bu nedenle, SHA-256 için yapılandırılan dağıtımlar daha zayıf olan MD5 tabanlı doğrulama alır; bu durum, Digest kimlik doğrulamasını özetleme fonksiyonunun çarpışma direncine bağlı olan çarpışma kaynaklı saldırı yollarına açık hale getirir. Bu sorun 4.51.0.0, 5.42.0.0 ve 6.50.0.0 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.http4k:http4k-security-digest6.50.0.0, 5.42.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4k:http4k-security-digestMaven | 6.0.0.0 ≤ v < 6.50.0.0, 5.0.0.0 ≤ v < 5.42.0.0, v ≤ 4.48.2.0 | 6.50.0.0, 5.42.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.