Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-352

CVE-2015-20129

CrushFTP'de CSRF zafiyeti: yönetici işlemleri yetkisiz gerçekleştirilebilir

CrushFTP

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, dosya aktarım sunucusunun yönetim paneline erişimi olan kişilerin yanlışlıkla tuzaklanmasıyla tam kontrolün ele geçirilmesine yol açabilir. Sunucunun kontrolünü kaybetmek veri sızıntısı, hizmet kesintisi ve itibar kaybı riskini doğurur. Bu nedenle güncellemenin hemen yapılması önerilir.

ÖzetTürkçe

CrushFTP'nin 7.3.0 öncesi sürümlerinde, CSRF korumasının varsayılan olarak kapalı gelmesi nedeniyle siteler arası istek sahteciliği (CSRF) zafiyeti bulunmaktadır. Zafiyet, sisteme giriş yapmış bir yöneticinin kötü amaçlı bir sayfayı ziyaret etmesiyle istismar edilebilir. Etkilenen sürümler 7.3.0'dan önceki tüm CrushFTP kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, oturum açmış yöneticinin yetkileriyle işlem yaptırarak kök (root) erişimli yeni kullanıcılar oluşturabilir veya sunucu yapılandırmasını değiştirebilir.

Kaynaktaki açıklama (İngilizce)

CrushFTP before 7.3.0 contains a cross-site request forgery vulnerability that allows attackers to perform administrative actions because CSRF protection is disabled by default. Attackers can lure an authenticated administrator to a malicious page that submits POST requests to commands like setUserItem, creating root-access users or changing server configuration.

Ne yapmalı?

  1. CrushFTP'yi 7.3.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde yönetici hesaplarının oturumlarını kapatın ve yalnızca güvenilen tarayıcılarda yönetim paneline giriş yapın. Genel öneri
  3. Güncellemeden sonra sistemde beklenmeyen yönetici kullanıcılarını ve değişmiş yapılandırma ayarlarını kontrol edin. Genel öneri

Ek önlemler

  • Yönetim paneline erişimi, mümkünse yalnızca belirli IP adresleri veya VPN üzerinden sınırlandırın. Genel öneri
  • Yönetici hesaplarının şüpheli bir bağlantıya tıklamadan önce oturumlarını kapatmalarını ve ayrı bir tarayıcı kullanmalarını sağlayın. Genel öneri
  • Yeni kullanıcı oluşturma ve yapılandırma değişikliklerini izleyip günlük kayıtlarını düzenli olarak inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
CrushFTP < 7.3.0 7.3.0
7.3.0 Etkilenmiyor –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.