Cronicle में update_event जॉब आउटपुट के माध्यम से विशेषाधिकार वृद्धि (Privilege Escalation)

Cronicle में CVE-2026-39401 कम विशेषाधिकार वाले उपयोगकर्ताओं को किसी भी इवेंट के कॉन्फ़िगरेशन को संशोधित करने की अनुमति देता है, जिसमें वेबहुक URL और अधिसूचना ईमेल पते शामिल हैं। 0.9.111 संस्करण से पहले, सर्वर 'jb' चाइल्ड प्रक्रिया के JSON आउटपुट में 'update_event' कुंजी शामिल होने पर इवेंट के संग्रहीत कॉन्फ़िगरेशन पर सीधे अपडेट लागू करता है, बिना किसी प्राधिकरण जांच के। एक हमलावर इस कमजोरी का उपयोग सूचनाओं को पुनर्निर्देशित करने, डेटा को इंटरसेप्ट करने या समझौता किए गए वेबहुक के माध्यम से दुर्भावनापूर्ण कोड निष्पादित करने के लिए कर सकता है। इस भेद्यता की गंभीरता इस तथ्य में निहित है कि यह Cronicle द्वारा संसाधित डेटा की अखंडता और गोपनीयता को खतरे में डाल सकता है, और संभावित रूप से सिस्टम की उपलब्धता को प्रभावित कर सकता है।

1. आरक्षित2026-04-06
2. प्रकाशित2026-04-07
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-04-15

इस भेद्यता को ठीक करने का तरीका Cronicle को संस्करण 0.9.111 या उच्चतर में अपग्रेड करना है। यह संस्करण इवेंट कॉन्फ़िगरेशन के अनधिकृत संशोधन को रोकने के लिए एक प्राधिकरण जांच पेश करता है। शोषण के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, अपडेट से पहले इवेंट कॉन्फ़िगरेशन की जांच करें ताकि यह सुनिश्चित हो सके कि उन्हें दुर्भावनापूर्ण तरीके से संशोधित नहीं किया गया है। Cronicle लॉग की निगरानी संदिग्ध गतिविधि के लिए भी संभावित हमलों का पता लगाने और उनका जवाब देने में मदद कर सकती है। Cronicle उपयोगकर्ताओं के लिए न्यूनतम विशेषाधिकार के सिद्धांत को लागू करना एक सामान्य सुरक्षा सर्वोत्तम अभ्यास है।