- Aktif istismar
- CWE-94
CVE-2025-54068
Livewire v3'te özellik güncelleme sürecinde uzaktan komut çalıştırma açığı
- Yayımlandı
- Güncellendi
- 23 Mar 2026
- Açık yaşı
- 467 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Livewire kullanan web uygulamaları, dışarıdan kimlik doğrulaması olmadan ele geçirilebilir ve sunucuda saldırgan komutları çalıştırılabilir. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler listesine eklenmiştir; bu nedenle güncelleme acilen yapılmalıdır. Bilinen bir geçici çözüm yoktur.
ÖzetTürkçe
Laravel için tam yığın bir çatı olan Livewire'ın v3.6.3 dahil önceki v3 sürümlerinde, bazı bileşen özelliklerinin güncellenirken hydrate edilme biçiminden kaynaklanan bir kod enjeksiyonu (CWE-94) açığı bulunmaktadır. Kimlik doğrulaması olmayan bir saldırgan, belirli şekilde bağlanmış ve yapılandırılmış bir bileşen üzerinden uzaktan komut çalıştırabilir. Açık yalnızca Livewire v3'ü etkiler, önceki ana sürümler etkilenmez. Kullanıcı etkileşimi gerekmez.
Saldırgan ne yapabilir?
Saldırgan, savunmasız uygulamayı çalıştıran sunucuda kimlik doğrulaması olmadan komut çalıştırabilir; bu da verilerin gizliliğini, bütünlüğünü ve sistemin erişilebilirliğini tehlikeye atar.
Kaynaktaki açıklama (İngilizce)
Livewire is a full-stack framework for Laravel. In Livewire v3 up to and including v3.6.3, a vulnerability allows unauthenticated attackers to achieve remote command execution in specific scenarios. The issue stems from how certain component property updates are hydrated. This vulnerability is unique to Livewire v3 and does not affect prior major versions. Exploitation requires a component to be mounted and configured in a particular way, but does not require authentication or user interaction. This issue has been patched in Livewire v3.6.4. All users are strongly encouraged to upgrade to this version or later as soon as possible. No known workarounds are available.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Livewire'ı v3.6.4 veya daha yeni bir sürüme yükseltin. Satıcı, tüm kullanıcıların mümkün olan en kısa sürede güncelleme yapmasını önermektedir. Genel öneri
- Bilinen bir geçici çözüm bulunmadığından güncelleme yapılana kadar etkilenen uygulamaya internet erişimini kısıtlamayı veya uygulamayı geçici olarak devre dışı bırakmayı değerlendirin. Genel öneri
- Satıcı talimatlarına göre azaltımları uygulayın; azaltım mümkün değilse ürünün kullanımını bırakın. CISA
Ek önlemler
- Sunucularda Livewire v3 kullanan tüm projeleri envanterleyin ve sürümlerini kontrol edin. Genel öneri
- Güncelleme öncesinde şüpheli Livewire istekleri ve beklenmeyen süreç çalıştırma izleri için web sunucusu ve uygulama günlüklerini inceleyin. Genel öneri
- Güncelleme sonrası sistemin ele geçirilip geçirilmediğini kontrol edin; beklenmeyen dosyalar, kullanıcılar ve zamanlanmış görevler arayın. Genel öneri
- Web uygulamasını en az yetkiyle çalıştırın ve uygulama kullanıcısının sunucudaki erişimini sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| livewire | Sürüm belirtilmemiş | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.