Linkding'in Proxy Login Açığı API Erişimini Bypass Edebiliyor

Linkding, kişisel yer işaretleri için popüler bir self-hosted hizmet. Çok kullanıcılı destek, paylaşılan yer işaretleri, REST API ve opsiyonel authentication proxy desteği sunuyor. Bu kombinasyon küçük dağıtımlar için pratik görünse de, aynı verilere ulaşmanın birden fazla yolunu açıyor.

Jeffrey Ciend tarafından raporlanan sorun şu: Linkding bir authentication proxy'nin arkasına konulduğunda, bu proxy genellikle tarayıcı oturumlarını denetler. Fakat API istemcileri API token ile doğrudan kimlik doğrulaması yapabiliyorlar. Proxy bu istemleri engellemeyebiliyor çünkü token tabanlı erişim, proxy'nin beklediği browser-based oturum akışından farklı.

Pratik olarak şu oluyor: Bir saldırgan linkding sunucusunun IP adresini ya da domain'ini öğrenirse, proxy'yi bypass ederek doğrudan API'ye token ile bağlanabiliyor. Böylece proxy'nin sağladığı ek kimlik doğrulama katmanı etkisiz kalıyor.

Eğer sen kendi linkding örneğini çalıştırıyorsan, API erişimini proxy'nin arkasında tutmaya özen göster. Proxy kurallarında API endpoint'lerine (genellikle `/api/` yolu) özel bir authentication gereksinimi koy. Ya da API token'ları sadece güvenilir ağlardan kabul et. Linkding'in son sürümünde bu konuda iyileştirmeler olup olmadığını kontrol etmeyi unutma.