- Son 7 gün
- CWE-434
CVE-2026-114398
Trudesk 1.2.11 ve öncesinde kimlik doğrulamalı kullanıcılara kısıtlanmamış dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Trudesk 1.2.11 ve öncesi, kimliği doğrulanmış herhangi bir kullanıcının uploadlogo, uploadpagelogo ve uploadfavicon uç noktaları üzerinden genel web kök dizinine HTML veya SVG dosyaları yerleştirmesine izin veren kısıtlanmamış dosya yükleme açığı içermektedir. Saldırganlar, bir görsel MIME türünü taklit ederek betik içeren dosyalar yükleyebilir; bu dosyalar kimlik doğrulaması olmadan /assets/ yolundan sunulur. Bu durum kalıcı siteler arası betik çalıştırma (XSS) saldırılarına ve kurulumun marka kimliğinin (logo ve görsellerinin) değiştirilmesine olanak tanır.
Kaynaktaki açıklama (İngilizce)
Trudesk through 1.2.11 contains an unrestricted file upload vulnerability that allows any authenticated user to place HTML or SVG files in the public webroot via the uploadlogo, uploadpagelogo and uploadfavicon endpoints. Attackers can spoof an image MIME type to upload script-bearing files served unauthenticated from /assets/, enabling stored cross-site scripting and replacement of instance branding.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| polonel trudesk | ≤ 1.2.11 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- hackmd.io/@leediay/multiple-vuln-trudesk-1211 Üçüncü taraf
- vulncheck.com/…ed-file-upload-via-settings-general-uploadlogo Üçüncü taraf
- github.com/…l/trudesk/blob/v1.2.11/src/controllers/main.js Diğer
- github.com/polonel/trudesk/blob/v1.2.11/src/routes/index.js Diğer
- github.com/polonel/trudesk Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.