CVE-2026-63004
Açıklama
Unleash açık kaynaklı bir özellik yönetim platformudur. 7.5.2, 7.6.5 ve 8.0.2 sürümlerinden önce, eklenti ve entegrasyon alt sistemi; src/lib/addons/webhook.ts dosyasındaki operatör kontrollü parameters.url değerini ve Slack, Microsoft Teams, Datadog ile New Relic entegrasyonlarını, loopback, link-local, özel veya bulut meta veri adreslerini kısıtlamadan src/lib/addons/addon.ts içindeki Addon.fetchRetry'a aktarmaktadır. Root CREATE_ADDON veya UPDATE_ADDON iznine sahip kimliği doğrulanmış bir aktör, sunucunun ağ sınırları içerisinden istekler göndermesine neden olabilir, entegrasyon olay durumunu körleme sorgulama orakeli olarak kullanabilir, Authorization, customHeaders veya DD-API-KEY değerlerini saldırgan tarafından gözlemlenen bir ana bilgisayara yönlendirebilir ve özellik-olay JSON gövdesini dahili servislere iletebilir. Bu sorun 7.5.2, 7.6.5 ve 8.0.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- unleash-server7.5.2, 7.6.5, 8.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| unleash-servernpm | v < 7.5.2, 7.6.0 ≤ v < 7.6.5, 8.0.0 ≤ v < 8.0.2 | 7.5.2, 7.6.5, 8.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.