- Son 7 gün
- CWE-639
CVE-2026-114392
Trudesk'te ticket kayıtlarının yetkisiz okunmasına izin veren yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Trudesk 1.2.11 dahil ve öncesi sürümler, kimliği doğrulanmış kullanıcıların GET /api/v1/tickets/:uid üzerinden kendi grupları dışındaki ticketları okumasına izin veren bir yetkilendirme atlatma açığı içerir. Saldırganlar ardışık ticket uid değerlerini sıralayarak her ticketın konusunu, sorununu, yorumlarını, sahibini ve atanan kişisini okuyabilir; çünkü apiTickets.single işleyicisi grup üyeliği kontrollerini atlamaktadır.
Kaynaktaki açıklama (İngilizce)
Trudesk through 1.2.11 contains an authorization bypass vulnerability that allows authenticated users to read tickets outside their groups via GET /api/v1/tickets/:uid. Attackers can enumerate sequential ticket uids to read every ticket's subject, issue, comments, owner and assignee, because the apiTickets.single handler skips group membership checks.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| polonel trudesk | ≤ 1.2.11 | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/polonel/trudesk/issues/754 Üçüncü taraf
- vulncheck.com/…uthorization-bypass-via-get-api-v1-tickets-uid Üçüncü taraf
- zineausa.com/…trudesk-1-2-11-unauthorized-ticket-access-idor İstismar kodu ya da analiz
- hackmd.io/@leediay/multiple-vuln-trudesk-1211 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.