- Son 7 gün
- CWE-639
CVE-2026-114393
Trudesk'te Ticket Güncelleme API'lerinde Yetki Atlatma Açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Trudesk 1.2.11 dahil olmak üzere önceki sürümlerinde, kimliği doğrulanmış her kullanıcının PUT /api/v1/tickets/:id ve PUT /api/v2/tickets/batch uç noktaları üzerinden kendi grupları dışındaki ticketları değiştirebilmesine olanak tanıyan bir yetki atlatma açığı bulunmaktadır. Saldırganlar, rastgele ticket ObjectId değerleri vererek durum, konu, grup, öncelik veya atanan kişi bilgilerini değiştirebilir ya da toplu olarak ticketları kapatabilir. Bunun nedeni, yalnızca varsayılan tickets:update rol yetkisinin kontrol edilmesidir.
Kaynaktaki açıklama (İngilizce)
Trudesk through 1.2.11 contains an authorization bypass vulnerability that allows any authenticated user to modify tickets outside their groups via PUT /api/v1/tickets/:id and PUT /api/v2/tickets/batch. Attackers can supply arbitrary ticket ObjectIds to change status, subject, group, priority or assignee, or mass-close tickets, since only the default tickets:update role grant is checked.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| polonel trudesk | ≤ 1.2.11 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- hackmd.io/@leediay/multiple-vuln-trudesk-1211 Üçüncü taraf
- vulncheck.com/…ization-bypass-via-ticket-update-api-endpoints Üçüncü taraf
- github.com/…blob/v1.2.11/src/controllers/api/v1/tickets.js Diğer
- github.com/…blob/v1.2.11/src/controllers/api/v2/tickets.js Diğer
- github.com/polonel/trudesk Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.