- Yama var
- CWE-639
CVE-2026-113610
Xen Orchestra user.set API'sinde yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Xen Orchestra 6.9.0 öncesi sürümlerde, xo-server user.set API metodunda yetkilendirme atlatma açığı bulunmaktadır. Bu açık, düşük yetkili kimliği doğrulanmış kullanıcıların, rastgele bir hedef kullanıcı kimliği belirterek diğer kullanıcıların tercihlerini değiştirmesine olanak tanır. Saldırganlar, iki faktörlü kimlik doğrulamayı devre dışı bırakmak için preferences.otp TOTP gizli anahtarını silebilir, oturum açmayı engellemek için bu anahtarı bozabilir veya kayıtlı xsCredentials ve sshKeys değerlerinin üzerine yazabilir.
Kaynaktaki açıklama (İngilizce)
Xen Orchestra before 6.9.0 contains an authorization bypass vulnerability in the xo-server user.set API method that allows low-privileged authenticated users to modify other users' preferences by supplying an arbitrary target user id. Attackers can delete the preferences.otp TOTP secret to disable two-factor authentication, corrupt it to block logins, or overwrite stored xsCredentials and sshKeys.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vatesfr xen-orchestra | < 6.9.0 | 6.9.0 |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…hestra/security/advisories/GHSA-mc4m-hc98-rhmv Üretici bülteni
- github.com/…ommit/3dbf8738f1e682b96ade2074dc84bee02a0c2d48 Yama
- vulncheck.com/…re-6.9.0-authorization-bypass-via-user-set-api Üçüncü taraf
- github.com/…6b006cc246/packages/xo-server/src/api/user.mjs Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.