CVE-2026-58490
Açıklama
Tracecat, ekipler ve yapay zeka ajanları için açık kaynaklı bir güvenlik otomasyon platformudur. Versiyon 0.37.0 ile 1.0.0-beta.49 arasında, SAML etkinleştirilmiş Docker Compose dağıtımları, SAML_SIGNED_ASSERTIONS ve SAML_SIGNED_RESPONSES değerlerini boş olarak işleyebilir; bu durum güvenli uygulama varsayılanlarını geçersiz kılarak her iki imza gereksinimini de devre dışı bırakır. SAML assertion consumer uç noktasına erişebilen kimliği doğrulanmamış bir saldırgan, mevcut bir Tracecat kullanıcı e-posta adresi için sahte ve imzasız bir yanıt göndererek söz konusu kullanıcının oturumunu ele geçirebilir. Mevcut bir superadmin'in hedef alınması, superadmin hesap ele geçirme ile sonuçlanabilir. İstismar işlemi, SAML kullanıcı oluşturma devre dışı olduğunda kullanıcı oluşturmaz ve varsayılan Fargate veya Helm dağıtımlarını etkilemez. Versiyon 1.0.0-beta.49, güvensiz dağıtım aktarımını kaldırarak imzalı assertion ve yanıtları zorunlu kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| TracecatHQ tracecat | >= 0.37.0, < 1.0.0-beta.49 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.