CVE-2026-89186

ZenHive mpp bileşeninde hassas bilgi içeren önbellek kullanımı, paylaşılan bir HTTP önbelleğinin ücretli bir yanıtı depolamasına ve bunu hiç ödeme yapmamış istemcilere sunmasına olanak tanır. lib/mpp/plug.ex dosyasındaki MPP.Plug.verify_credential, sarmalanmış uygulama çalışmadan önce bağlantıda payment-receipt ve cache-control: private ayarlarını yapar ve herhangi bir register_before_send/2 geri çağırması kaydetmez. Plug.Conn.put_resp_header/3 mevcut bir başlığı değiştirdiğinden, ücretli kaynak üzerinde kendi cache-control ayarını (örneğin public, max-age=3600) belirleyen bir uygulama, kütüphanenin dayandığı private ayarını sessizce geçersiz kılar; böylece bir CDN veya ters proxy, ücretli 200 yanıtını Payment-Receipt ile birlikte depolayabilir ve her ikisini de ödeme yapmamış istemcilere sunabilir. Bu nedenle, kütüphane düzeyindeki garanti, koruduğu uygulama tarafından etkisiz hale getirilebilir. Aynı nedenden dolayı, aşağı akıştaki 2xx olmayan bir yanıt hala Payment-Receipt taşıyordu ve hiçbir kaynak sunmayan bir yanıt için makbuz düzenleniyordu. Bu sorun mpp'nin 0.1.0 sürümünden 0.16.2 öncesine kadar olan sürümlerini etkilemektedir.