Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün

CVE-2026-107092

NexoPOS api/update uç noktasında dizin geçiş (path traversal) açığı

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
2 gün
Kaydı açan
mitre

Yönetici özeti

Bu açık, NexoPOS satış ve kasa yazılımını kullanan işletmelerin verilerini ve sistemlerini doğrudan tehlikeye atabilecek kritik bir risktir. Saldırganlar, herhangi bir oturum açmadan sistemi etkileyebilir. Bu nedenle etkilenen sistemlerin hemen tespit edilip güncellenmesi veya korunması önerilir.

ÖzetTürkçe

NexoPOS v6.2.4 sürümünde api/update uç noktası, dizin geçiş (directory traversal) açığı içermektedir. Saldırgan, bu uç noktaya hazırlanmış istekler göndererek sistemde yetkisiz dosya ve dizinlere erişmeye çalışabilir. Etkilenen sürüm NexoPOS v6.2.4 olup, CVSS 3.1 temel puanı 9.8 (KRİTİK) olarak belirtilmiştir.

Saldırgan ne yapabilir?

Kimlik doğrulaması gerektirmeden uzaktan gerçekleştirilebilen bu açık, saldırganın sunucudaki hassas dosyaları okumasına, değiştirmesine veya sistemi ele geçirmesine olanak tanıyabilir. CVSS vektörüne göre gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki beklenmektedir.

Kaynaktaki açıklama (İngilizce)

NexoPOS v6.2.4 is vulnerable to Directory Traversal via the api/update endpoint.

Ne yapmalı?

  1. Açığın giderildiği sürüm henüz kaynaklarda belirtilmediğinden, NexoPOS'un resmi kaynaklarından en güncel sürümü kontrol edin ve mevcut sürüm v6.2.4 ise yükseltme yapın. Genel öneri
  2. Açığın giderilmesi için bir yama çıkana kadar api/update uç noktasına erişimi, web sunucusu veya güvenlik duvarı seviyesinde kısıtlayın; yalnızca yetkili yöneticilerin erişebildiği bir ağ ile sınırlandırın. Genel öneri
  3. Sunucudaki dosya izinlerini gözden geçirin ve uygulama sürecinin yalnızca gerekli dizinlere yazma/okuma yetkisine sahip olduğundan emin olun. Genel öneri
  4. Web sunucu ve uygulama günlüklerini api/update uç noktasına yönelik şüpheli istekler, dizin geçiş karakterleri içeren parametreler ve olağan dışı dosya erişimleri açısından inceleyin. Genel öneri

Ek önlemler

  • Kullanılmayan güncelleme veya yönetim uç noktalarını devre dışı bırakın ya da yalnızca güvenilir IP adreslerine açın. Genel öneri
  • Uygulama ve sunucu dosyalarının yedeklerini düzenli alın ve yedeklerin çevrimdışı veya ayrı bir ağda tutulduğundan emin olun. Genel öneri
  • Web uygulaması güvenlik duvarı (WAF) kullanıyorsanız, dizin geçiş desenlerini engelleyen kuralları etkinleştirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.