Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-113370

Nexus Repository 3 Reindex Search by Pattern görevinde SQL enjeksiyonu

Sonatype Nexus Repository 3

Yüksek 7,7 CVSS 4.0
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
1 gün
Kaydı açan
Sonatype

Yönetici özeti

Bu açık, Nexus Repository'nin yazılım paketlerini ve yapılarını yönettiği veritabanını etkileyebilir. Yetkili bir kullanıcının veritabanındaki kayıtları değiştirmesine olanak tanıdığı için iş sürekliliği ve veri güvenilirliği açısından risk oluşturur. Sürümünüzü etkileniyorsa güncellemeyi planlamanız önerilir.

ÖzetTürkçe

Sonatype Nexus Repository 3'ün isteğe bağlı "Reindex Search Tables By Pattern" görevinde SQL enjeksiyonu açığı bulunmaktadır. nexus:tasks:create yetkisine sahip bir kullanıcı, hazırlanmış bir filtre koşulunu veritabanında SQL olarak çalıştırtabilir. Etkilenen sürümler 3.90.0 ile 3.98.0 öncesidir. Görev yalnızca varsayılan olmayan nexus.reindex.search.by.pattern.visible ayarı true olduğunda kullanılabilir.

Saldırgan ne yapabilir?

Yetkili bir kullanıcı, Nexus veritabanındaki verileri değiştirebilir. Açık, CVSS 4.0 skoruna göre yüksek seviyede gizlilik, bütünlük ve erişilebilirlik etkisi taşımaktadır.

Kaynaktaki açıklama (İngilizce)

Sonatype Nexus Repository 3 contains a SQL injection vulnerability in the optional "Reindex Search Tables By Pattern" task. A user who holds the nexus:tasks:create privilege can supply a crafted filter condition that the database runs as SQL. This allows the user to modify data in the Nexus database. The task is available only when the non-default setting nexus.reindex.search.by.pattern.visible is set to true.

Ne yapmalı?

  1. Nexus Repository 3'ü 3.98.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar nexus.reindex.search.by.pattern.visible ayarının true olmadığından emin olun; bu görev kullanılamaz hale gelir. Genel öneri
  3. nexus:tasks:create yetkisini yalnızca güvenilir yönetici hesaplarına verin ve gereksiz yetkileri kaldırın. Genel öneri

Ek önlemler

  • Nexus görev geçmişini ve veritabanı değişikliklerini beklenmeyen işlemler açısından düzenli olarak inceleyin. Genel öneri
  • Yönetici hesaplarında çok faktörlü kimlik doğrulama kullanın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sonatype Nexus Repository 3 ≥ 3.90.0, < 3.98.0 3.98.0

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.