CVE-2026-82247
Açıklama
gitoxide'ın gix-url crate'i (<= 0.32.0, 0.37.1 sürümünde düzeltildi), RFC 3986'nın aksine '?' veya '#' karakterlerini yetki bileşenini sonlandıran karakterler olarak işlemeyen manuel yazılmış bir URL ayrıştırıcı kullanmaktadır. Bunun sonucunda, gix-transport'un HTTP yönlendirme kimlik koruması (can_reuse_identity) yanlış ana bilgisayarı karşılaştırır ve güvenli olmayan şekilde onay verir. Bir yönlendirme yanıtını kontrol eden saldırgan, <attacker-authority>?@<original-authority> şeklinde bir Location başlığı oluşturarak gitoxide'ın çağırıcının HTTP Basic Authorization kimlik bilgilerini istenmeyen bir ana bilgisayara göndermesini sağlayabilir. gix-transport, <= 0.49.0 sürümlerinde etkilenmektedir (0.58.1 sürümünde düzeltildi).
Nasıl düzeltilir
- GitoxideLabs gitoxide0.37.1, 0.58.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| GitoxideLabs gitoxide | v < 0.37.1, v < 0.58.1 | 0.37.1, 0.58.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.