- Son 7 gün
- CWE-639
CVE-2026-115334
Lotus'ta switch_organization uç noktası üzerinden yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Lotus 0.10.2 sürümüne kadar olan sürümlerde, ChangeUserOrganizationView.post içinde yetki atlatma açığı bulunmaktadır. Bu açık, kimlik doğrulaması yapılmış kullanıcıların bir organizasyonun UUID değerini vererek o organizasyona katılmasına izin vermektedir. Kendi kaydını oluşturmuş saldırganlar, başka bir organizasyonun UUID değerini biliyorlarsa /app/switch_organization/ adresine POST isteği göndererek o kiracının verilerine ve faturalandırma yapılandırmasına erişebilmektedir.
Kaynaktaki açıklama (İngilizce)
Lotus through 0.10.2 contains an authorization bypass vulnerability in ChangeUserOrganizationView.post that allows authenticated users to join any organization by supplying its UUID. Self-registered attackers who know another organization's UUID can send a POST request to /app/switch_organization/ to access that tenant's data and billing configuration.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| uselotus lotus | ≤ 0.10.2 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.