CVE-2026-55883
Açıklama
Tilt, Kubernetes üzerindeki mikroservis uygulamaları için geliştirme ortamlarını kod olarak tanımlar. 0.24.0 ile 0.37.3 sürümleri arasında, /ws/view adresindeki Tilt HUD WebSocket'i bir CSRF belirteci ile korunmaktadır; ancak bu belirteç kimlik doğrulaması gerektirmeyen /api/websocket_token uç noktası tarafından sunulmakta ve yükseltici (upgrader), Origin başlığını eksik bırakan istemcileri kabul etmektedir. HUD ağa açık olduğunda, dinleyiciye erişebilen bir saldırgan HUD WebSocket'ini açabilir ve oturum durumu, Tiltfile içerikleri, kaynak durumları ve devam eden güncellemeler dahil olmak üzere tüm görünüm akışını alabilir. Bu sorun 0.37.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/tilt-dev/tilt0.37.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/tilt-dev/tiltGo | 0.24.0 ≤ v < 0.37.4 | 0.37.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.