- Son 7 gün
- CWE-943
CVE-2026-114396
Trudesk'te tickets arama API'si üzerinden MongoDB $where sorgusuna enjeksiyon açığı
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Trudesk 1.2.11 sürümüne kadar olan sürümlerde, kimlik doğrulaması yapılmış kullanıcıların arama parametresi aracılığıyla bir MongoDB $where yan tümcesine kod enjekte etmesine izin veren sunucu tarafı JavaScript enjeksiyonu açığı bulunmaktadır. Saldırganlar, GET /api/v1/tickets/search isteğindeki düzenli ifadeyi kapatarak mongod sürecini döngüye sokabilir ve hizmet dışı bırakma (DoS) saldırısı gerçekleştirebilir ya da iç notlar dahil olmak üzere tam ticket belgelerini sızdırabilir. CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:H vektörüyle 7.1 (YÜKSEK) puan almıştır.
Kaynaktaki açıklama (İngilizce)
Trudesk through 1.2.11 contains a server-side JavaScript injection vulnerability that allows authenticated users to inject code into a MongoDB $where clause via the search parameter. Attackers can close the regular expression in GET /api/v1/tickets/search to loop mongod for denial of service or leak full ticket documents including internal notes.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| polonel trudesk | ≤ 1.2.11 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.