CVE-2026-64857
Açıklama
Bir güvenlik çerçevesi olan tirreno, 0.10.0 öncesi sürümlerde bir oturum sabitleme (session fixation) sorunu içermektedir. Kimlik doğrulama sırasında tirreno, kullanıcının kimlik bilgilerini doğrular ve kimliği doğrulanmış oturumu oluşturur ancak sonrasında `session_regenerate_id()` fonksiyonunu çağırmaz. Sonuç olarak, giriş yapıldığında oturum tanımlayıcısı döndürülmez; kimlik doğrulama öncesinde ve sonrasında aynı kalır. Bir kurbanın tarayıcısında bilinen bir oturum tanımlayıcısını sabitleyebilen bir saldırgan (örneğin ağda aradaki adam konumunda bulunarak veya ayrı bir siteler arası betik çalıştırma (XSS) ya da alt alan adı çerez enjeksiyonu sorunu aracılığıyla), daha sonra kurbanın kimliği doğrulanmış oturumuna erişim sağlayabilir. Sorun v0.10.0 sürümünde düzeltilmiştir. Oturum tanımlayıcısı artık başarılı kimlik doğrulamasında yeniden oluşturulmakta ve önceki oturum imha edilmektedir. Yapılandırma düzeyinde bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tirrenotechnologies tirreno | < 0.10.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.