- Son 7 gün
- CWE-943
CVE-2026-114401
Trudesk 1.2.11 ve öncesinde regex enjeksiyonu ile kullanıcı adı numaralandırma
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Trudesk 1.2.11 sürümüne kadar olan sürümlerde, regüler ifade enjeksiyonu (regex injection) açıklığı bulunmaktadır. Bu açıklık, kimlik doğrulaması yapılmamış saldırganların POST /api/v1/login uç noktasına regüler ifade desenleri göndererek kullanıcı adlarını numaralandırmasına olanak tanır. Saldırganlar (admin|root) gibi alternatif ifadeler veya a.* gibi önekler gönderebilir ve 'Invalid User' (Geçersiz Kullanıcı) ile 'Invalid Password' (Geçersiz Parola) yanıtlarını ayırt ederek geçerli hesapları tespit edebilir.
Kaynaktaki açıklama (İngilizce)
Trudesk through 1.2.11 contains a regular expression injection vulnerability that allows unauthenticated attackers to enumerate usernames by submitting regex patterns to POST /api/v1/login. Attackers can send alternations or prefixes like (admin|root) or a.* and distinguish 'Invalid User' from 'Invalid Password' responses to discover valid accounts.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| polonel trudesk | ≤ 1.2.11 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- hackmd.io/@leediay/multiple-vuln-trudesk-1211 Üçüncü taraf
- vulncheck.com/…numeration-via-regex-injection-in-api-v1-login Üçüncü taraf
- github.com/polonel/trudesk/blob/v1.2.11/src/models/user.js Diğer
- github.com/…/blob/v1.2.11/src/controllers/api/v1/common.js Diğer
- github.com/polonel/trudesk Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.