- Yama var
- CWE-598
CVE-2026-113669
ApostropheCMS ve passport-bridge'de URL'deki oturum belirteci nedeniyle oturum ele geçirilmesi
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
ApostropheCMS, açık kaynaklı bir Node.js içerik yönetim sistemidir. ApostropheCMS'in 4.33.0 sürümünden ve passport-bridge'in 1.6.1 sürümünden önce, farklı ana makineler veya yerel ayarlar arasındaki oturum aktarımı, tek kullanımlık bir taşıyıcı (bearer) oturum belirtecini bir yönlendirme URL'sine yerleştiriyordu. Hâlâ geçerli ve henüz kullanılmamış bir belirteci, ilk kullanımından önce elde edip kullanan bir istemci, ilişkili oturumu devralabiliyordu; bu durum passport-bridge'in yerel ayarlar arası akışı üzerinden de gerçekleşebiliyordu. Bu sorun ApostropheCMS 4.33.0 ve passport-bridge 1.6.1 sürümlerinde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
ApostropheCMS is an open-source Node.js content management system. Prior to 4.33.0 of ApostropheCMS and 1.6.1 of passport-bridge, cross-host or cross-locale session migration places a single-use bearer session token in a redirect URL. A client that obtains and redeems a still-valid, unconsumed token before its first use can adopt the associated session, including through the passport-bridge cross-locale flow. This issue is fixed in ApostropheCMS 4.33.0 and passport-bridge 1.6.1.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| @apostrophecms passport-bridge | < 1.6.1 | 1.6.1 |
| apostrophecms apostrophe | < 4.33.0 | 4.33.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.