CVE-2026-6272
Açıklama
Yalnızca okuma (read) JWT kapsamına sahip bir istemci, ProvideSignalRequest göndererek production kuksa.val.v2 OpenProviderStream API üzerinden kendisini bir sinyal sağlayıcısı olarak kaydedebilir. 1. Yalnızca okuma kapsamına sahip herhangi bir geçerli belirteç elde edin. 2. Normal production gRPC API'sine (kuksa.val.v2) bağlanın. 3. OpenProviderStream'i açın. 4. Hedef bir sinyal kimliği için ProvideSignalRequest gönderin. 5. Broker'ın GetProviderValueRequest'i iletmesini bekleyin. 6. Saldırgan tarafından kontrol edilen bir GetProviderValueResponse ile yanıt verin. 7. Söz konusu sinyal için GetValue / GetValues işlemi gerçekleştiren diğer istemciler sahte veri alır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KUKSA - Databroker | 0.5.0 ≤ v ≤ 0.6.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.