- Yama var
- CWE-488
CVE-2026-112921
Robots::Validate'de User-Agent eşleştirici durumu sonraki isteklere taşınıyor, meşru istemciler sahte robot olarak raporlanıyor
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 11 gün
- Kaydı açan
- CPANSec
ÖzetTürkçe
0.4.3 sürümünden 0.4.10 sürümünden önceki Robots::Validate sürümleri, Perl için, User-Agent eşleştirici durumu önceki bir istekten devraldığında istemcileri sahte robot olarak raporluyor. Her Robots::Validate nesnesi, saf Perl ile yazılmış tek bir Aho-Corasick arama makinesi barındırır ve her User-Agent'ı durumunu sıfırlamadan bu makineye besler. Bir robot adının ortasında biten bir User-Agent, makineyi eşleşme ortasında bırakır; aynı nesnede kontrol edilen bir sonraki User-Agent bu adı tamamlayabilir. Bu durumda istemcinin adresi, başarısız olduğu robot DNS kuralına göre denetlenir. Uzak bir istemci, bunu kötü robotları engelleyen bir sitenin, önek olarak kullandığı User-Agent dizesi doğrulanan bir robotun sonek'i olan diğer ziyaretçileri engellemesi için kullanabilir. Algorithm::AhoCorasick::XS kullanan dağıtımlar da etkilenmektedir; bu kütüphane farklı bir hata nedeniyle kullanılmıyordu. Çözüm: Robots-Validate v0.4.10 veya sonrasına yükseltin. Algorithm::AhoCorasick::XS kullanan dağıtımlar ise v0.4.11 sürümüne yükseltmelidir; bu sürüm, o sürümü kullanmayla ilgili bir hatayı düzeltmiştir.
Kaynaktaki açıklama (İngilizce)
Robots::Validate versions from 0.4.3 before 0.4.10 for Perl report clients as imposter robots when User-Agent matcher state carries over from a previous request.
Each Robots::Validate object holds one pure-Perl Aho-Corasick search machine and feeds every User-Agent into it without resetting its state. A User-Agent that ends part-way through a robot name leaves the machine mid-match, so the next User-Agent checked by the same object can complete that name. That client's address is then checked against the robot's DNS rule, which it fails.
A remote client can use this to make a site that blocks bad robots block other visitors where the prefix User-Agent string is a suffix of a robot being validated.
Note that deployments with Algorithm::AhoCorasick::XS are also affected, since it was unused due to a different bug.
Üreticinin çözüm notu (İngilizce)
Upgrade to Robots-Validate v0.4.10 or later.
Deployments with Algorithm::AhoCorasick::XS should upgrade to v0.4.11, which fixed a bug with using that version.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Robots-Validate | ≥ 0.4.3, < 0.4.10 | 0.4.10 |
Kaynaklar6 kaynak
Kayıt geçmişi
- CVSS puanı değişti: – → 7.3
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.