- Aktif istismar
- CWE-288
CVE-2025-2747
Kentico Xperience Staging Sync Server'da kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 17 Haz 2026
- Açık yaşı
- 582 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Kentico Xperience kullanan web siteleri, herhangi bir giriş yapılmadan uzaktan ele geçirilebilir ve açık aktif olarak istismar edilmektedir. Başarılı bir saldırı site içeriğinin ve yönetim ayarlarının kötüye kullanılmasına yol açabilir. Düzeltmelerin acilen uygulanması gerekir.
ÖzetTürkçe
Kentico Xperience'in Staging Sync Server bileşeni, sunucu için tanımlanan "None" parola türünü işlerken kimlik doğrulamayı atlatmaya izin vermektedir. Açık CWE-288 kapsamında sınıflandırılmıştır ve kimlik doğrulaması olmadan ağ üzerinden istismar edilebilir. Xperience 13.0.178 dahil ve öncesi sürümler etkilenmektedir. Zafiyet CISA tarafından bilinen istismar edilen açıklar (KEV) kataloğuna eklenmiştir ve herkese açık istismar kodları mevcuttur.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan yönetimsel nesneleri kontrol edebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki yaratır.
Kaynaktaki açıklama (İngilizce)
An authentication bypass vulnerability in Kentico Xperience allows authentication bypass via the Staging Sync Server component password handling for the server defined None type. Authentication bypass allows an attacker to control administrative objects.This issue affects Xperience through 13.0.178.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Kentico'nun yayımladığı yama ve güvenlik talimatlarına göre Xperience kurulumunuzu 13.0.178 sonrasındaki düzeltilmiş sürüme güncelleyin. Genel öneri
- Güncelleme hemen yapılamıyorsa Staging Sync Server bileşenini kullanmıyorsanız devre dışı bırakın ve bileşene dışarıdan erişimi ağ düzeyinde kısıtlayın. Genel öneri
- CISA KEV gerekliliği uyarınca üretici talimatlarındaki hafifletme önlemlerini uygulayın; hafifletme mümkün değilse ürünün kullanımını sonlandırın. CISA
- Staging Sync Server için parola türü olarak "None" kullanılan yapılandırmaları tespit edip güçlü bir kimlik doğrulama yöntemiyle değiştirin. Genel öneri
Ek önlemler
- Yönetim ve staging arayüzlerini yalnızca güvenilir IP adreslerinden erişilebilir olacak şekilde güvenlik duvarı veya VPN ile sınırlandırın. Genel öneri
- Yönetimsel nesnelerde beklenmedik oluşturma, değiştirme veya silme işlemleri için günlükleri ve staging senkronizasyon isteklerini inceleyin. Genel öneri
- Açık istismar kodları bulunduğundan, sistemlerinizde olası ele geçirilme belirtilerini (yeni yönetici hesapları, değişen içerik) kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Kentico Xperience | ≤ 13.0.178 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- devnet.kentico.com/download/hotfixes Yama
- vulncheck.com/…erver-none-password-type-authentication-bypass Üçüncü taraf
- labs.watchtowr.com/…-pre-auth-rce-chain-s-in-kentico-xperience-cms İstismar kodu ya da analiz
- github.com/…bs/kentico-xperience13-AuthBypass-wt-2025-0011 İstismar kodu ya da analiz
- cisa.gov/known-exploited-vulnerabilities-catalog Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.