Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-285

CVE-2026-108047

ALO Suite kullanıcı davet işlevinde yetersiz yetkilendirme

AM System ALO Suite

Yüksek 8,6 CVSS 4.0
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
INCIBE

Yönetici özeti

Bu açık, şirketin kullandığı ALO Suite yazılımında yetkisiz kişilerin kendilerine yönetici hakkı verebilmesi anlamına gelir. Yönetici erişimi ele geçirilen sistemdeki müşteri ve çalışan bilgileri gibi verilerin sızmasına veya değiştirilmesine yol açabilir. Bu nedenle güncellemenin öncelikli olarak ve hemen yapılması gerekir.

ÖzetTürkçe

ALO Suite uygulamasındaki kullanıcı davet işlevinde, '/Requests/userInvitation' uç noktası davet edilen kullanıcıya atanan yetkileri sunucu tarafında doğru doğrulamıyor. Açıklamaya göre, meşru bir davet isteği ele geçirilip değiştirilerek yönetici yetkisi atanabiliyor ve kimlik doğrulaması yapılmamış bir saldırgan bu yolla yetki yükseltebiliyor. Etkilenen ürün AM System ALO Suite, sürüm 25_09_15.03_35 olarak belirtilmiştir. CVSS vektörü ise saldırının düşük düzeyde yetki gerektirdiğini gösteriyor; bu nedenle saldırının koşulları üreticinin yayımladığı bilgilerle birlikte değerlendirilmelidir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın yetkisiz biçimde tam yönetici erişimi elde etmesine ve uygulamadaki verileri görüntüleyip değiştirmesine olanak tanır.

Kaynaktaki açıklama (İngilizce)

Inadequate authorization vulnerability in Alosuite’s user invitation functionality. The ‘/Requests/userInvitation’ endpoint does not properly validate the assignment of privileges on the server, allowing an attacker to manipulate the invitation parameters during the request process. By intercepting and modifying a legitimate invitation request, an unauthenticated attacker can assign administrative privileges to a newly invited user without the appropriate authorization checks. A successful exploit results in unauthorized privilege escalation, granting full administrative access to the affected application.

Üreticinin çözüm notu (İngilizce)

The manufacturer has indicated that the vulnerabilities have been fixed in version 26_04_15.03_10 of ALO Suite, released in April 2026. It is recommended that you use the patched version.

Ne yapmalı?

  1. Üretici tarafından açıklanan düzeltilmiş sürüm olan 26_04_15.03_10 sürümüne veya daha yeni bir sürüme derhal güncelleyin. Üretici
  2. Güncelleme yapılana kadar kullanıcı davet işlevine erişimi yalnızca güvenilir yöneticilerle sınırlandırın veya bu işlevi geçici olarak devre dışı bırakın. Genel öneri
  3. Güncellemeden önce ve sonra, davet yoluyla oluşturulmuş yeni kullanıcı hesaplarını ve yönetici yetkisi verilmiş hesapları gözden geçirin; tanımadığınız hesapları kaldırın. Genel öneri

Ek önlemler

  • Yönetici yetkisi atanan hesapların ve yetki değişikliklerinin kayıtlarını düzenli olarak izleyin. Genel öneri
  • Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın ve yönetim arayüzüne erişimi ağ düzeyinde kısıtlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
AM System ALO Suite 25_09_15.03_35 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.