PT-2026-53923 · Ocelot · Ocelot
CVSS v4.0
9.3
Crítica
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Ocelot versões anteriores a 24.1.1
Descrição
Existe uma falha de bypass de controle de segurança no processamento de solicitações de upgrade de WebSocket. O problema decorre de uma falha de lógica no arquivo
OcelotPipelineExtensions.cs, onde um ramo MapWhen configurado para upgrades de WebSocket omite o SecurityMiddleware. Essa omissão permite que clientes de endereços IP bloqueados ignorem as restrições de acesso baseadas em IP configuradas e tenham seu tráfego encaminhado para serviços downstream, podendo levar ao acesso não autorizado e exposição de dados.Recomendações
Atualize para a versão que contém o commit f156fd4.
Exploit
Correção
Authentication Bypass Using an Alternate Path or Channel
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ocelot