- Aktif istismar
- CWE-288
CVE-2025-2746
Kentico Xperience Staging Sync Server'da kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 583 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Kentico Xperience üzerinde çalışan web siteleri, kimlik bilgisi olmayan bir saldırgan tarafından yönetici düzeyinde ele geçirilebilir. Açık aktif olarak istismar edilmektedir, bu nedenle düzeltmenin gecikmeden uygulanması gerekir. Müşteri verilerinin ve site bütünlüğünün kaybı ciddi itibar ve operasyon riski doğurur.
ÖzetTürkçe
Kentico Xperience'ın Staging Sync Server bileşeninde, digest kimlik doğrulaması sırasında boş SHA1 kullanıcı adlarının parola işlemesi nedeniyle kimlik doğrulama atlatılabiliyor. Açık, Xperience 13.0.172 ve öncesi sürümleri etkiliyor. Saldırgan kimlik bilgisi olmadan ve kullanıcı etkileşimi gerektirmeden ağ üzerinden istismar edebiliyor. Açık CISA KEV kataloğuna eklenmiştir ve aktif olarak istismar edildiği bilinmektedir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulamadan geçerek yönetimsel nesneleri kontrol edebilir. Bu durum sitenin içeriğinin ve yapılandırmasının ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
An authentication bypass vulnerability in Kentico Xperience allows authentication bypass via the Staging Sync Server password handling of empty SHA1 usernames in digest authentication. Authentication bypass allows an attacker to control administrative objects.This issue affects Xperience through 13.0.172.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Kentico'nun yayımladığı yama veya güvenlik güncellemesini uygulayarak Xperience'ı 13.0.172'den sonraki düzeltilmiş bir sürüme yükseltin. Genel öneri
- Güncelleme hemen mümkün değilse, Staging Sync Server hizmetine erişimi güvenlik duvarı veya ağ kurallarıyla yalnızca güvenilir IP adresleriyle sınırlandırın ya da hizmeti geçici olarak devre dışı bırakın. Genel öneri
- CISA gereği: Üreticinin talimatlarına göre önlemleri uygulayın, bulut hizmetleri için geçerli BOD 22-01 yönergelerini izleyin; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Sisteminizin daha önce ele geçirilip geçirilmediğini kontrol edin; yönetici hesaplarını, yönetimsel nesnelerdeki değişiklikleri ve günlükleri inceleyin. Genel öneri
Ek önlemler
- Staging Sync Server uç noktasını doğrudan internete açmayın; yalnızca VPN veya izinli IP listesi üzerinden erişilebilir kılın. Genel öneri
- Staging servisine yönelik olağandışı kimlik doğrulama isteklerini ve beklenmeyen yönetimsel değişiklikleri izleyin. Genel öneri
- Yönetici parolalarını ve entegrasyon anahtarlarını, olası ele geçirme şüphesi varsa yenileyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Kentico Xperience | ≤ 13.0.172 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- devnet.kentico.com/download/hotfixes Yama
- vulncheck.com/…c-server-digest-password-authentication-bypass Üçüncü taraf
- labs.watchtowr.com/…-pre-auth-rce-chain-s-in-kentico-xperience-cms İstismar kodu ya da analiz
- github.com/…bs/kentico-xperience13-AuthBypass-wt-2025-0011 İstismar kodu ya da analiz
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.