- Yama var
- Son 7 gün
- CWE-287
CVE-2026-110799
Vvveb CMS'te şifre sıfırlama işlevinde kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, internet üzerinden herhangi bir kişinin kimlik bilgisi olmadan web sitenizin yönetim hesaplarını ele geçirmesine olanak tanıyabilir. Sitenizin içeriği, müşteri verileri ve yayın bütünlüğü ciddi risk altındadır. Etkilenen sürümü kullanıyorsanız güncellemeyi hemen yapmanız gerekir.
ÖzetTürkçe
Vvveb, sayfa oluşturucu özelliği olan bir içerik yönetim sistemidir (CMS). 1.0.8.7 öncesi sürümlerde şifre sıfırlama işlevi, kullanıcı ve token GET parametrelerini yeterince doğrulamadığı için kimlik doğrulama atlatma açığı içermektedir. Bu sürümü kullanan tüm kurulumlar etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması yapmadan şifre sıfırlama mekanizmasını kötüye kullanarak hedef hesapların kontrolünü ele geçirebilir ve yönetici dahil tam hesap devralma gerçekleştirebilir.
Kaynaktaki açıklama (İngilizce)
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. Prior to version 1.0.8.7, the password reset functionality is vulnerable to an Authentication Bypass due to insufficient validation of the user and token GET parameters. This issue has been patched in version 1.0.8.7.
Ne yapmalı?
- Vvveb'i 1.0.8.7 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde ve sonrasında yönetici hesaplarındaki yetkisiz şifre değişikliklerini ve yeni oluşturulmuş hesapları kontrol edin. Genel öneri
- Güncelleme yapılamıyorsa şifre sıfırlama işlevini geçici olarak devre dışı bırakın veya bu sayfalara erişimi ağ düzeyinde kısıtlayın. Genel öneri
- Yönetici şifrelerini ve açık oturumları güncelleme sonrasında yenileyin. Genel öneri
Ek önlemler
- Yönetim paneline erişimi IP beyaz listesi veya VPN ile sınırlandırın. Genel öneri
- Şifre sıfırlama isteklerini ve alışılmadık GET parametrelerini içeren web sunucusu günlüklerini izleyin. Genel öneri
- Yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| givanz Vvveb | < 1.0.8.7 | 1.0.8.7 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.