CVE-2026-50192 in kerberos-io
Tóm tắt
Bởi VulDB • 21/08/2026
Kerberos Agent là một tác nhân quản lý video (giám sát) mã nguồn mở. Trước phiên bản 3.6.26, đường dẫn tải lên của Kerberos Hub gửi thông tin xác thực Hub của agent trong các tiêu đề yêu cầu tùy chỉnh `X-Kerberos-Hub-PrivateKey` và `X-Kerberos-Hub-PublicKey` đến URL Hub được cấu hình bởi nhà vận hành (`config.HubURI`). Máy khách HTTP được sử dụng (`&http.Client{}` trong `UploadKerberosHub`) được khởi tạo mà không có chính sách `CheckRedirect`, do đó nó tự động làm theo các chuyển hướng HTTP. Go's `net/http` chỉ loại bỏ các tiêu đề nhạy cảm (`Authorization`, `Cookie`, `WWW-Authenticate`) khi xảy ra chuyển hướng khác máy chủ; nó không loại bỏ các tiêu đề tùy chỉnh như `X-Kerberos-Hub-PrivateKey`. Kết quả là, nếu URL Hub được cấu hình trả về một lệnh chuyển hướng 30x sang máy chủ khác, khóa riêng của Hub sẽ được chuyển tiếp nguyên văn đến đích chuyển hướng, làm lộ thông tin xác thực cho bên thứ ba không mong muốn. Phiên bản 3.6.26 khắc phục sự cố bằng cách triển khai việc loại bỏ trong `CheckRedirect` và cung cấp một bài kiểm tra hồi quy khác máy chủ cho người bảo trì qua fork tạm thời riêng tư của khuyến cáo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.