- Yama var
- Son 7 gün
- CWE-863
CVE-2026-114391
ZenTao PMS'te Ajax denetleyici metotlarında yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
ZenTao PMS 22.3 öncesi sürümlerde commonModel::isOpenMethod fonksiyonunda bir yetkilendirme atlatma açığı bulunmaktadır. Bu açık, oturum açmış kullanıcıların adı 'ajax' içeren herhangi bir metot için grup tabanlı ACL denetimlerini atlamasına olanak tanır. En düşük yetkiye sahip kullanıcılar task.ajaxGetByID, system.ajaxDBAuthUrl ve admin.ajaxChangeTableEngine gibi metotları çağırarak veri okuyabilir, veritabanı kimlik bilgilerini elde edebilir, CI işlerini tetikleyebilir ve tabloları değiştirebilir.
Kaynaktaki açıklama (İngilizce)
ZenTao PMS before 22.3 contains an authorization bypass vulnerability in commonModel::isOpenMethod() that lets logged-in users skip group-based ACL checks for any method containing 'ajax'. Minimal-privilege users can call methods like task.ajaxGetByID, system.ajaxDBAuthUrl and admin.ajaxChangeTableEngine to read data, obtain database credentials, trigger CI jobs and alter tables.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| easysoft zentaopms | < 22.3 | 22.3 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/ac484f3b01c0f84002391a344d99dd2993692f49 Yama
- github.com/easysoft/zentaopms/issues/181 Üçüncü taraf
- vulncheck.com/…thorization-bypass-via-ajax-controller-methods Üçüncü taraf
- github.com/…zentaopms/releases/tag/zentaopms_22.3_20260707 Diğer
- github.com/…entaopms_22.2_20260527/module/common/model.php Diğer
- github.com/…taopms_22.2_20260527/module/system/control.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.