- Yama var
- CWE-639
CVE-2026-113598
Modoboa'da API v2 uyarı toplu silme işleminde yetkisiz nesne erişimi (IDOR) açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Modoboa 2.8.0 öncesi sürümler, kimliği doğrulanmış kullanıcıların POST /api/v2/alarms/bulk_delete/ eylemi üzerinden diğer alan adlarına ait uyarıları silmesine izin veren güvensiz doğrudan nesne referansı (IDOR) açığı içermektedir. Saldırganlar sıralı uyarı kimliklerini sıralayarak DNS, MX ve kara liste izleme uyarılarını sunucu genelinde silebilir ve sorunları sorumlu yöneticilerden gizleyebilir.
Kaynaktaki açıklama (İngilizce)
Modoboa before 2.8.0 contains an insecure direct object reference vulnerability that allows authenticated users to delete alarms of other domains via the POST /api/v2/alarms/bulk_delete/ action. Attackers can enumerate sequential alarm IDs to delete DNS, MX and blocklist monitoring alarms server-wide, hiding problems from responsible administrators.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| modoboa | < 2.8.0 | 2.8.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/e0a4e3b9ee8ad84dba46e4c0f04cbbe7cf78c38d Yama
- github.com/modoboa/modoboa/issues/3945 Üçüncü taraf
- vulncheck.com/…efore-2.8.0-idor-via-api-v2-alarms-bulk-delete Üçüncü taraf
- github.com/modoboa/modoboa/releases/tag/2.8.0 Diğer
- github.com/…oa/blob/2.7.2/modoboa/admin/api/v2/viewsets.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.