Xerj Console API'sindeki Kimlik Doğrulama Açığı Kalıcı Yetkisiz Erişime Yol Açıyor
Xerj arama motorunun API yapısındaki bir hata, saldırganların mevcut tokenları kullanarak kalıcı ve yetkisiz kimlik bilgileri oluşturmasına olanak tanıyor.
Yapay zeka modellerinin Elasticsearch API üzerinden yapılandırılmış verileri sorgulamasını sağlayan açık kaynaklı arama motoru Xerj, kimlik doğrulama mekanizmasındaki ciddi bir mimari hata nedeniyle risk altında. CVE-2026-97406 olarak tanımlanan bu zafiyet, sistemin token oluşturma sürecinde passkey tabanlı doğrulama gereksinimini göz ardı etmesinden kaynaklanıyor.
Söz konusu hata, standart tarayıcı oturumları ile API bearer tokenlarını aynı AuthSession nesnesi altında birleştiriyor. Bu durum, geçerli bir API tokenına sahip olan bir saldırganın, passkey doğrulaması olmaksızın doğrudan token oluşturma uç noktasına erişmesine imkan tanıyor. Böylece saldırganlar, orijinal token ile aynı yetkilere sahip bağımsız ve kalıcı halef kimlik bilgileri üretebiliyor.
İlginizi çekebilir · Siber GüvenlikSaldırganlar Yapay Zeka Destekli Cairn Aracını Büyük Ölçekli İhlaller İçin KullanıyorPlatformun hiyerarşik bir iptal mantığına sahip olmaması, güvenlik riskini daha da büyütüyor. Ana token iptal edilse dahi, bu token üzerinden oluşturulan alt kimlik bilgileri geçerliliğini korumaya devam ediyor. Özellikle hesap sahibi seviyesindeki tokenların ele geçirilmesi durumunda, saldırganlar kendi kontrollerindeki bir passkey'i sisteme ekleyerek Xerj örneği üzerinde tam ve kalıcı bir yönetici kontrolü elde edebiliyor.
Üreticiye ulaşılamaması nedeniyle henüz resmi bir yama yayınlanmış değil. Kullanıcıların, projenin GitHub deposundaki güncellemeleri yakından takip etmeleri ve bir düzeltme yayınlandığı anda en güncel sürüme geçmeleri öneriliyor.
