CVE-2026-55417
Açıklama
Chevereto, kendi sunucunuzda barındırabileceğiniz bir medya paylaşım platformudur. Versiyon 3.7.5 ve sonrası ile versiyon 4.5.4 öncesindeki sürümlerde, bir kullanıcı gizli profil seçeneğini etkinleştirdiğinde, profilinin HTML rotasını (`/username`) ziyaret etmek doğru şekilde 404 hatası döndürür. Ancak, `/json` AJAX listeleme uç noktası aynı kontrolü uygulamaz. Hedef kullanıcının kullanıcı kimliğini bilen kimliği doğrulanmamış bir çağrıcı, söz konusu kullanıcının herkese açık kapsamdaki tüm görsellerini alabilir ve böylece (gizli olması gereken) kullanıcı adını ortaya çıkarabilir. Bu durum Chevereto v4.5.4 sürümünde düzeltilmiştir. Bilinen herhangi bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| chevereto chevereto | >= 3.7.5, < 4.5.4 | — |
| chevereto chevereto/chevereto | >= 4.0.5, < 4.5.4 | — |
| chevereto rodber/chevereto-free | >= 1.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.