CVE-2026-89309
Açıklama
WMS MobileServer'ın yetkilendirme ara yazılımı, iki farklı durumda kimlik doğrulaması gereksinimini karşılamada başarısız olur. İlk olarak, yalnızca GET ve HEAD istekleri için bir Authorization başlığı gerektirir; diğer herhangi bir HTTP yöntemi kullanan istekler, kimlik doğrulama kontrolü yapılmadan işlenir. İkinci olarak, GET ve HEAD dahil olmak üzere herhangi bir HTTP yöntemi için, hatalı biçimlendirilmiş veya bearer olmayan bir Authorization başlığı taşıyan istekler, geçerli bir jeton (token) gerektirilmeden kabul edilir. Ara yazılım, düzgün biçimlendirilmiş bir jeton mevcut olduğunda bunu doğrular ancak bu iki durumda jeton gerektirmez. Bu nedenle, servise ağ erişimi olan uzaktaki bir saldırgan, geçerli kimlik bilgileri olmadan API işlevselliğini çağırabilir.
Nasıl düzeltilir
- JTL SW GmbH JTL-WMS2.0.7, 2.1.2, 2.2.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| JTL SW GmbH JTL-WMS | v < 2.0.7, v < 2.1.2, v < 2.2.1, 1.7.*, 1.8.*, 1.9.*, 1.10.*, 1.11.* | 2.0.7, 2.1.2, 2.2.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.