CVE-2026-54893
Açıklama
Swoosh'un Microsoft Graph adaptöründe URL yolu enjeksiyonu bulunmaktadır. Swoosh.Adapters.MsGraph, Microsoft Graph API istek URL'sini, gönderenin e-posta adresini yüzdelik kodlama veya doğrulama yapmadan URL yoluna (/users/{from}/sendMail) yerleştirerek oluşturur. Gönderen adresini güvenilmeyen veya kullanıcı etkileşimli girdilerden alan uygulamalarda (örneğin bir röle, iletişim formu veya "olarak gönder" özelliği), bir saldırgan adresin yerel kısmına /, ?, veya # gibi URL için özel karakterler yerleştirerek hedeflenen yol segmentinden çıkabilir ve isteğin yolunu ve sorgu dizesini yeniden yazabilir. Aynı kimliği doğrulanmış POST isteği uygulamanın Microsoft Graph taşıyıcı belirteciyle (bearer token) gönderildiği için, saldırgan bu isteği belirtecin kapsamları dahilindeki diğer Graph uç noktalarına yönlendirebilir ve isteğin sorgu dizesini kontrol edebilir. Her zaman sabit ve güvenilir bir gönderen adresi kullanan uygulamalar etkilenmez. Bu sorun şu sürümleri etkilemektedir: 1.12.0 ile 1.26.3 arasındaki swoosh sürümleri.
Nasıl düzeltilir
- swoosh swoosh1.26.3, e38235453e81d1727bfc8d91e69ec4cb211ccf61 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| swoosh swoosh | 1.12.0 ≤ v < 1.26.3, 23bfcdab71aee4613858ba6d116bb3311b72aa58 ≤ v < e38235453e81d1727bfc8d91e69ec4cb211ccf61 | 1.26.3, e38235453e81d1727bfc8d91e69ec4cb211ccf61 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.