CVE-2026-57958
Açıklama
Mixpost 2.6.0 ve öncesi sürümler, kimlik doğrulaması yapmamış saldırganların, temizlenmemiş hata sorgu parametreleri içeren kötü amaçlı OAuth geri çağırma URL'leri oluşturarak, kimliği doğrulanmış kullanıcıların tarayıcılarında rastgele JavaScript kodu çalıştırmasına olanak tanıyan bir yansıtılmış siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, OAuth geri çağırma denetleyicisinin hata parametrelerini Laravel flash mesajları aracılığıyla Vue v-html direktifi ile işlemeden önce temizlemedeki başarısızlığını kullanarak, kimliği doğrulanmış kullanıcı oturumlarını ele geçirebilir veya yetkisiz işlemler gerçekleştirebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| inovector mixpost | v ≤ 2.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.