GNU Mailman 2.1.35 තැපැල් කළමනාකරණ පද්ධතියේ නිවැරදි නිකුතුවක් ප්‍රකාශයට පත් කර ඇත, විවිධ විවෘත මූලාශ්‍ර ව්‍යාපෘතිවල සංවර්ධකයින් අතර සන්නිවේදනය සංවිධානය කිරීමට භාවිතා කරයි. යාවත්කාලීනය දුර්වලතා දෙකක් ආමන්ත්‍රණය කරයි: පළමු අවදානම (CVE-2021-42096) තැපැල් ලැයිස්තුවකට දායක වූ ඕනෑම පරිශීලකයෙකුට එම තැපැල් ලැයිස්තුව සඳහා පරිපාලක මුරපදය තීරණය කිරීමට ඉඩ දෙයි. දෙවන අවදානම (CVE-2021-42097) වෙනත් තැපැල් ලැයිස්තු පරිශීලකයෙකුට ඔහුගේ ගිණුම අත්පත් කර ගැනීම සඳහා CSRF ප්‍රහාරයක් සිදු කිරීමට හැකි වේ. ප්රහාරය සිදු කළ හැක්කේ තැපැල් ලැයිස්තුවේ දායක වූ සාමාජිකයෙකුට පමණි. Mailman 3 මෙම ගැටලුවට බලපාන්නේ නැත.
විකල්ප පිටුවේ ඇති CSRF ප්‍රහාරවලින් ආරක්ෂා වීමට භාවිතා කරන csrf_token අගය සෑම විටම පරිපාලක ටෝකනයට සමාන වන අතර, වත්මන් සැසියේ පරිශීලකයා සඳහා වෙන වෙනම උත්පාදනය නොකිරීම නිසා ගැටලු දෙකම ඇති වේ. csrf_token උත්පාදනය කරන විට, පරිපාලක මුරපදයේ හැෂ් පිළිබඳ තොරතුරු භාවිතා කරනු ලැබේ, එය තිරිසන් බලයෙන් මුරපදය නිර්ණය කිරීම සරල කරයි. එක් පරිශීලකයෙකු සඳහා සාදන ලද csrf_token තවත් පරිශීලකයෙකුට ද සුදුසු බැවින්, ප්‍රහාරකයෙකුට වෙනත් පරිශීලකයෙකු විසින් විවෘත කරන ලද විට, මෙම පරිශීලකයා වෙනුවෙන් Mailman අතුරුමුහුණතෙහි විධාන ක්‍රියාත්මක කර ඔහුගේ ගිණුමේ පාලනය ලබා ගත හැකි පිටුවක් නිර්මාණය කළ හැකිය.
මූලාශ්රය: opennet.ru