- Yama var
- Son 7 gün
- CWE-863
CVE-2026-113676
Froxlor'da Admins.get API üzerinden yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Froxlor 0.10.0 ile 2.3.15 öncesi sürümlerde, Admins.get API komutunda yetkilendirme atlatma açığı bulunmaktadır. Bu açık, bayilerin tanımlayıcı karışıklığı (identifier confusion) yoluyla herhangi bir yönetici kaydını okumasına olanak tanımaktadır. Saldırganlar, kendi loginname değerini başka bir yöneticinin sayısal id değeriyle birlikte göndererek iletişim e-postası, IP izin listeleri, kaynak sınırları, notlar ve oturum açma geçmişi bilgilerine erişebilmektedir.
Kaynaktaki açıklama (İngilizce)
Froxlor from 0.10.0 before 2.3.15 contains an authorization bypass vulnerability in the Admins.get API command that allows resellers to read any admin record via identifier confusion. Attackers can send their own loginname with another admin's numeric id to retrieve contact email, IP allow-lists, resource limits, notes, and login history.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| froxlor | ≥ 0.10.0, < 2.3.15 | 2.3.15 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…roxlor/security/advisories/GHSA-m7gc-8c8g-4f89 Üretici bülteni
- github.com/…ommit/981400f36a0c3b5a7012e15a17dfc5fe7146fa0a Yama
- vulncheck.com/…2.3.15-authorization-bypass-via-admins-get-api Üçüncü taraf
- github.com/froxlor/froxlor/releases/tag/2.3.15 Diğer
- github.com/…lob/2.3.14/lib/Froxlor/Api/Commands/Admins.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.