- Son 7 gün
- CWE-639
CVE-2026-109848
GROWI etiket ve sayfa güncelleme API'lerinde yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- jpcert
Yönetici özeti
Bu açık, sisteme giriş yapabilen kişilerin gizli kalması gereken wiki içeriklerine erişmesine ve bu içerikleri kendi düzenleyebildikleri sayfalarda yayımlamasına olanak tanıyabilir. Kuruluşunuz GROWI kullanıyorsa ve sürümünüz etkilenen aralıktaysa, bilgi sızıntısı riskini azaltmak için bu konuya öncelik verilmelidir.
ÖzetTürkçe
GROWI'deki etiket güncelleme API'si ile sayfa güncelleme API'si, kullanıcı kontrolündeki bir anahtarın hatalı kullanılması nedeniyle yetkilendirme denetimini atlatmaya izin veriyor. Etkilenen sürümler, 4.5.5 ile 8.0.6 dahil aralığındaki GROWI kurulumlarıdır. Açık, sisteme giriş yapabilen bir saldırganın hedeflenmektedir.
Saldırgan ne yapabilir?
Okuma yetkisi olmayan sayfaların içeriğini ele geçirebilen saldırgan, bu içerikleri kendisinin düzenleyebildiği sayfalara kaydedebilir. Böylece yetkisiz bilgi ifşası ve içerik manipülasyonu mümkün olur.
Kaynaktaki açıklama (İngilizce)
GROWI contains an authorization bypass vulnerability in its tag update API and the page update API due to improper use of a user-controlled key. By exploiting this vulnerability, an attacker who can log in to the product may obtain the contents of pages without the required read permission and save them to pages that the attacker can edit.
Ne yapmalı?
- Bu veri kaynağında düzeltilmiş sürüm bilgisi bulunmuyor. GROWI'yi kullanan kurulumlarda, sürümünüzün etkilenen aralıkta (4.5.5 ile 8.0.6 dahil) olup olmadığını kontrol edin. Genel öneri
- Ürünün geliştiricisi GROWI, Inc.'in yayımladığı güvenlik duyurusunu ve düzeltilmiş sürüm bilgilerini inceleyin. Genel öneri
- Mümkün olan en kısa sürede GROWI'yi geliştiricinin önerdiği düzeltilmiş sürüme güncelleyin; güncelleme yapılana kadar bu sürümü kullanan sistemleri risk altında kabul edin. Genel öneri
- Güncelleme öncesinde, sisteme giriş yapabilen hesapları gözden geçirin ve gereksiz kullanıcı hesaplarını devre dışı bırakın. Genel öneri
Ek önlemler
- Sayfa ve etiket güncelleme işlemlerinin kayıtlarını (loglarını) düzenli olarak inceleyin ve beklenmedik toplu değişiklikleri araştırın. Genel öneri
- Gizli veya kısıtlı sayfalarda kişisel veya hassas bilgi tutmaktan kaçının ve erişim izinlerini en az yetki ilkesine göre düzenleyin. Genel öneri
- Yeni hesap oluşturmayı ve giriş yetkilerini kuruluş ihtiyaçlarıyla sınırlı tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GROWI, Inc. GROWI | ≥ v4.5.5, ≤ v8.0.6 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.