- CWE-639
CVE-2026-113606
Stirling-PDF'de işlem klasörleri üzerinden yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Stirling-PDF 3.0.0 ile 3.2.0 sürümlerini kapsayan bir yetki atlatma (authorization bypass) açığı içerir. Bu açık, kimlik doğrulaması yapılmış kullanıcıların, işlem klasörünü sunucudaki depolama dizinine yönlendirerek diğer kullanıcıların saklanan dosyalarına erişmesine olanak tanır. Saldırganlar POST /api/v1/processing-folders uç noktası üzerinden storage/<victimUserId> hedefli bir klasör oluşturabilir, dosyaları listeleyebilir ve iş akışlarını (pipeline) çalıştırarak kurbanların dosyalarını okuyabilir, değiştirebilir veya yok edebilir.
Kaynaktaki açıklama (İngilizce)
Stirling-PDF 3.0.0 through 3.2.0 contains an authorization bypass vulnerability that allows authenticated users to access other users' stored files by pointing a processing folder at the server storage directory. Attackers can create a folder via POST /api/v1/processing-folders targeting storage/<victimUserId>, list files, and run pipelines to read, modify, or destroy victims' files.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Stirling-Tools Stirling-PDF | ≥ 3.0.0, ≤ 3.2.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/….0-authorization-bypass-via-processing-folders Üçüncü taraf
- github.com/abraxas/stirling-storage-folder-idor İstismar kodu ya da analiz
- abraxaslabs.tech/research/stirling-storage-folder-idor Diğer
- abraxaslabs.tech/research/stirling-pdf-3.2.0-leftovers Diğer
- github.com/…oprietary/policy/config/FolderAccessGuard.java Diğer
- github.com/…icy/controller/ProcessingFolderController.java Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.