- Son 7 gün
- CWE-287
CVE-2026-115333
Lotus 0.10.2 ve öncesinde olay alımı API anahtarı önekiyle kimlik doğrulama hatası
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Lotus 0.10.2 sürümüne kadar olan sürümlerde, Go olay alımı ara katmanı API anahtarlarını yalnızca önekine göre doğrular ve gizli değeri saklanan hashed_key ile karşılaştırmaz. Bir API anahtarının önekini bilen veya ele geçiren saldırganlar, POST /api/track/ uç noktasına o kuruluş adına kullanım olayları gönderebilir ve böylece ölçümlü kullanımı ve faturalandırmayı değiştirebilir.
Kaynaktaki açıklama (İngilizce)
Lotus through 0.10.2 contains an improper authentication vulnerability in the Go event ingestion middleware that validates API keys by prefix only, without checking the secret against the stored hashed_key. Attackers who know or obtain an API key prefix can submit usage events to POST /api/track/ as that organization, altering its metered usage and billing.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uselotus lotus | ≤ 0.10.2 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.