CVE-2026-63405
Açıklama
AnyCable, herhangi bir arka uç sistemini destekleyen güvenilir iki yönlü iletişim için gerçek zamanlı bir sunucudur. 1.6.15 sürümünden önce, pusher/http.go dosyasındaki Pusher uyumlu REST API, çağırıcı tarafından sağlanan body_md5 değerini HMAC girdisine dahil eder ancak alınan istek gövdesinin özetini hesaplamaz veya bunu imzalı değerle karşılaştırmaz. Meşru ve imzalı bir POST isteği elde eden bir saldırgan, sorgu parametrelerini ve auth_signature değerini koruyup gövdeyi değiştirerek Handler ve handleEvents fonksiyonlarının saldırgan tarafından seçilen olay içeriğini kabul etmesini ve yayınlamasını sağlayabilir. Bir auth_timestamp tazelik kontrolünün olmaması, yakalanan imzanın süresiz olarak yeniden oynatılmasına da olanak tanır. Bu durum; sunucu tarafı olaylarının taklit edilmesine, uygulama durumunun değiştirilmesine veya imzalı isteğin uygulama bağlamındaki WebSocket istemcilerine saldırgan kontrollü mesajların iletilmesine neden olabilir. Bu sorun 1.6.15 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- github.com/anycable/anycable1.6.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/anycable/anycableGo | v < 1.6.15 | 1.6.15 |
| github.com/anycable/anycable-goGo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.