- Yama var
- Son 7 gün
- CWE-798
CVE-2026-54631
Part-DB'de sabit kodlanmış APP_SECRET, sahte remember-me çerezi oluşturulmasına olanak tanıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Part-DB, elektronik bileşenler için açık kaynaklı bir envanter yönetim sistemidir. 2.12.1 sürümünden önce, Part-DB deposunda izlenen .env dosyası APP_SECRET için sabit bir değer (a03498528f5a5fc089273ec9ae5b2849) içermektedir. Resmi jbtronics/part-db1 Docker imajı, konteyner başlatılırken bu değeri geçersiz kılmamakta veya rastgele üretmemektedir. Symfony, remember-me çerezlerini imzalamak için APP_SECRET değerini (kernel.secret üzerinden) HMAC anahtarı olarak kullandığından, secret değerini bilen veya bunu herkese açık depodan alabilen bir saldırgan, herhangi bir kullanıcı için remember-me çerezi sahteciliği yapabilir ve hiçbir kimlik bilgisi gerektirmeden tam yetkili bir oturum elde edebilir. Bu sorun 2.12.1 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.1, the file .env committed in the Part-DB repository contains a fixed value for APP_SECRET (a03498528f5a5fc089273ec9ae5b2849). The official Docker image jbtronics/part-db1 does not override or randomize this value at container start-up. Because Symfony uses APP_SECRET (via kernel.secret) as the HMAC key for signing remember-me cookies, any attacker who knows the secret -- or fetches it from the public repository -- can forge an arbitrary-user remember-me cookie and gain a fully authenticated session with no credentials required. This issue has been patched in version 2.12.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Part-DB-server | < 2.12.1 | 2.12.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.