CVE-2026-55375
Açıklama
canto-saas-api, Canto SaaS API ile etkileşim kurmak için kullanılan bir PHP kütüphanesidir. 3.0.0 sürümünden önce, OAuth2Request::getQueryParams() fonksiyonu; app_id, app_secret, refresh_token ve code bilgilerini token POST isteklerinin URL sorgu dizesine yerleştirerek erişim günlüklerinin, proxy günlüklerinin ve APM izlerinin kimlik bilgilerini düz metin olarak saklamasına neden olmaktadır. Bir token isteği başarısız olduğunda, OAuth2::obtainAccessToken() fonksiyonu ayrıca kimlik bilgileri içeren Guzzle istek URI'sini AuthorizationFailedException içine aktarmakta, böylece uygulama günlükleri ve hata takip sistemleri aynı gizli bilgileri kaydedebilmektedir. Etkilenen telemetri verilerine erişimi olan bir saldırgan, Canto kimlik bilgilerini ele geçirebilir ve bunları kiracı için erişim tokenları istemek amacıyla kullanabilir. Bu sorun 3.0.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- jleehr/canto-saas-api3.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| jleehr/canto-saas-apiPackagist | v < 3.0.0 | 3.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.