- Yama var
- CWE-639
CVE-2026-113600
Fat Free CRM'de CommentsController üzerinden yetkisiz yorum değiştirme ve silme (IDOR) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
0.26.0 öncesi Fat Free CRM, kimliği doğrulanmış kullanıcıların başkalarına ait yorumları değiştirmesine veya silmesine izin veren güvenli olmayan doğrudan nesne referansı (IDOR) açığı içermektedir. Bunun nedeni, CommentsController#update ve #destroy metotlarının yetkilendirme kontrolü yapmadan kapsamsız Comment.find çağrısı kullanmasıdır. Saldırganlar, başkalarına ait kişiler, hesaplar, potansiyel müşteriler ve fırsatlar üzerindeki yorumları düzenlemek veya silmek için /comments/:id adresine tahmin edilebilir ardışık kimliklerle PUT veya DELETE istekleri gönderebilmektedir.
Kaynaktaki açıklama (İngilizce)
Fat Free CRM before 0.26.0 contains an insecure direct object reference vulnerability that allows authenticated users to modify or delete other users' comments because CommentsController#update and #destroy use an unscoped Comment.find without authorization checks. Attackers can send PUT or DELETE requests to /comments/:id with enumerable sequential IDs to edit or delete comments on contacts, accounts, leads, and opportunities owned by others.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| fatfreecrm Fat Free Crm | < 0.26.0 | 0.26.0 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/3c3199328dd10414b1f039ab8e4a82fe0f3baf87 Yama
- github.com/fatfreecrm/fat_free_crm/issues/1650 Üçüncü taraf
- vulncheck.com/…idor-via-commentscontroller-update-and-destroy Üçüncü taraf
- github.com/fatfreecrm/fat_free_crm/releases/tag/v0.26.0 Diğer
- github.com/…v0.25.0/app/controllers/comments_controller.rb Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.