- Son 7 gün
- CWE-639
CVE-2026-115325
Netmaker'da updateExtClient işleyicisinde yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Netmaker 1.7.0 dahil sürümlerde, updateExtClient işleyicisinde yetki atlatma (authorization bypass) açığı bulunmaktadır. Bu açık, ağ kapsamlı kullanıcıların diğer ağlardaki harici istemcileri değiştirmesine olanak tanır. Bir ağda harici istemci yetkisine sahip saldırganlar, /api/extclients/{network}/{clientid} adresine PUT istekleri göndererek genel anahtarları değiştirebilir, istemcileri devre dışı bırakabilir ve WireGuard özel anahtarlarını elde edebilir.
Kaynaktaki açıklama (İngilizce)
Netmaker through 1.7.0 contains an authorization bypass vulnerability in the updateExtClient handler that allows network-scoped users to modify external clients on other networks. Attackers with external client permissions on one network can send PUT requests to /api/extclients/{network}/{clientid} to replace public keys, disable clients, and obtain WireGuard private keys.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| gravitl netmaker | ≤ 1.7.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/gravitl/netmaker/pull/4153 Yama
- github.com/…ommit/332d8b9bab030ee65e78b9141259e4e0e80ac4b0 Yama
- github.com/gravitl/netmaker/issues/3875 Üçüncü taraf
- vulncheck.com/…ion-bypass-via-updateextclient-unscoped-lookup Üçüncü taraf
- github.com/…netmaker/blob/v1.7.0/controllers/ext_client.go Diğer
- github.com/gravitl/netmaker Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.