- Son 7 gün
- CWE-639
CVE-2026-115329
Lotus'ta SubscriptionViewSet üzerinden kuruluşlar arası yetkisiz nesne erişimi (IDOR) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Lotus 0.10.2 sürümüne kadar olan sürümler, SubscriptionViewSet.get_object fonksiyonunda güvensiz doğrudan nesne referansı (IDOR) açığı içerir. Bu fonksiyon, kuruluş filtrelemesi veya yetki kontrolü yapılmayan kapsamsız bir sorgu kümesi kullanır. Kimliği doğrulanmış kullanıcılar veya herhangi bir kuruluşa ait API anahtarları, başka bir kuruluşun subscription_id değerini kullanarak abonelikleri okuyabilir, iptal edebilir, güncelleyebilir, plan değiştirebilir veya eklentileri değiştirebilir; bu da başka bir kiracının faturalandırmasını değiştirmek anlamına gelir.
Kaynaktaki açıklama (İngilizce)
Lotus through 0.10.2 contains an insecure direct object reference vulnerability in SubscriptionViewSet.get_object() that uses an unscoped queryset without organization filtering or permission checks. Authenticated users or API keys from any organization can supply another organization's subscription_id to read, cancel, update, switch plans, or modify addons, altering another tenant's billing.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uselotus lotus | ≤ 0.10.2 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/uselotus/lotus/pull/802 Yama
- github.com/…ommit/1375d5140795d72251c89f47200879b9bd1d6d96 Yama
- github.com/uselotus/lotus/issues/799 Üçüncü taraf
- vulncheck.com/…ross-organization-idor-via-subscriptionviewset Üçüncü taraf
- github.com/uselotus/lotus/blob/0.10.2/backend/api/views.py Diğer
- github.com/uselotus/lotus Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.