- Son 7 gün
- CWE-639
CVE-2026-105272
GROWI sayfa görüntüleme ve yorum işlevinde yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- jpcert
Yönetici özeti
Bu açık, yetkisiz kullanıcıların şirket içi wiki sayfalarındaki ve yorumlardaki bilgilere erişmesine olanak tanıyabilir. Sisteme erişimi olan bir kullanıcı için risk orta düzeydedir ancak gizli bilgilerin sızması hukuki ve itibar kaybı doğurabilir. Bu nedenle güncellemenin planlı şekilde kısa sürede yapılması önerilir.
ÖzetTürkçe
GROWI'de sayfa görüntüleme ve yorum işlevleri, kullanıcı kontrollü bir anahtarın hatalı kullanılması nedeniyle okuma yetkisi denetimini atlatabiliyor. Açık, sürüm 3.2.10 ile 8.0.6 arasında (bu sürümler dahil) etkilenen GROWI kurulumlarını kapsıyor. Saldırganın bu açığı kullanabilmesi için sisteme kimliği doğrulanmış (oturum açmış) olarak erişmesi gerekiyor.
Saldırgan ne yapabilir?
Kimliği doğrulanmış bir saldırgan, okuma izni olmadığı halde sayfaların içeriğine ve bu sayfalardaki yorumlara erişebilir. Yetkisiz erişim, wiki içeriğinde yer alan kişisel veya gizli bilgilerin ifşa olmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
GROWI contains an authorization bypass vulnerability in its page viewing and commenting functionality due to improper use of a user-controlled key. By exploiting this vulnerability, an authenticated attacker may obtain the contents and comments of pages without the required read permission.
Ne yapmalı?
- Satıcının yayımladığı düzeltilmiş sürümü kontrol edin; mevcut veride kesin düzeltilmiş sürüm bilgisi bulunmuyor. Etkilenen aralık sürüm 8.0.6'ya kadar olduğundan, bu sürümün üzerindeki resmi bir sürüme geçmek gerekir. Genel öneri
- Güncelleme yapılana kadar sisteme yeni kullanıcı kaydını ve gereksiz hesap erişimlerini sınırlandırın, özellikle dış kullanıcılara açık hesapları gözden geçirin. Genel öneri
- Hassas içeriği barındıran sayfaların erişim izinlerini manuel olarak gözden geçirin ve gerekli olmayan erişimleri kaldırın. Genel öneri
Ek önlemler
- Sunucu erişim ve uygulama günlüklerini düzenli olarak inceleyerek olağandışı sayfa veya yorum erişimi denemelerini izleyin. Genel öneri
- Wiki hesaplarında güçlü parola ve çok faktörlü kimlik doğrulama kullanımını zorunlu kılın. Genel öneri
- Sistemde yalnızca gerekli kullanıcıların oturum açabildiğinden emin olmak için davet ve kayıt politikalarını sıkılaştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GROWI, Inc. GROWI | ≥ v3.2.10, ≤ v8.0.6 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.