- Yama var
- Son 7 gün
- CWE-248
CVE-2026-89315
Eclipse KeyPont GOSE'da JwtClaims.MarshalJSON, geçersiz talep anahtarlarında panic oluşturuyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- eclipse
ÖzetTürkçe
JwtClaims.MarshalJSON, her tanımlanmamış (untyped) talep için "A" + claimName biçiminde bir alan adı üreterek çalışma zamanında reflect.StructOf ile bir Go yapısı oluşturuyordu. reflect.StructOf, alan adı geçerli bir Go tanımlayıcısı değilse veya başka bir alanla çakışıyorsa panic oluşturuyor. Her iki durum da sıradan JWT talep adlarıyla tetiklenebilir.
Kaynaktaki açıklama (İngilizce)
JwtClaims.MarshalJSON built a Go struct at runtime with reflect.StructOf, synthesising a field named "A" + claimName for each untyped claim. reflect.StructOf **panics** when a field name is not a valid Go identifier, or when it duplicates another field. Both conditions are reachable from ordinary JWT claim names.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Eclipse Foundation Eclipse KeyPont - GOSE | ≥ 0.7.3, ≤ 0.13.0-rc1 | – |
| < 1.0.0-rc4 | 1.0.0-rc4 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.