CVE-2026-55867
Açıklama
Graylog ücretsiz ve açık kaynaklı bir günlük yönetimi platformudur. 6.2.0 ile 6.3.12, 7.0.7 ve 7.1.2 sürümleri arasında, graylog2-server/src/main/java/org/graylog2/rest/resources/users/UsersResource.java dosyasındaki UsersResource.revokeToken() tarafından uygulanan DELETE /users/{userId}/tokens/{idOrToken} uç noktası, idOrToken tarafından seçilen belirteci çözümlemeden önce saldırgan tarafından kontrol edilen userId yol parametresine karşı USERS_TOKENREMOVE iznini kontrol eder. Kimliği doğrulanmış bir kullanıcı, accessTokenService.loadById() veya accessTokenService.load() fonksiyonları servis hesabı veya yönetici dahil başka bir kullanıcıya ait bir belirteci çözümlerken yetkili bir userId sağlayabilir; ardından accessTokenService.destroy(), AccessToken.getUserName() kontrolü yapmadan söz konusu belirteci siler. Bu sorun belirteç içeriklerini ifşa etmez ancak yetkisiz silme işlemi bütünlük etkisine neden olur ve erişim belirteci tabanlı entegrasyonları bozabilir. Bu sorun 6.3.12, 7.0.7 ve 7.1.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.graylog2:graylog2-server6.3.12, 7.0.7, 7.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.graylog2:graylog2-serverMaven | 6.2.0 ≤ v < 6.3.12, 7.0.0 ≤ v < 7.0.7, 7.1.0 ≤ v < 7.1.2 | 6.3.12, 7.0.7, 7.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.