- Yama var
- Son 7 gün
- CWE-312
CVE-2026-115400
crawlseo'da Google OAuth jetonlarının şifrelenmeden saklanması
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
crawlseo 0.2.5 sürümünden önceki sürümlerde, veritabanını okuma erişimi olan saldırganların Google OAuth erişim ve yenileme jetonlarını elde edebildiği bir şifresiz depolama (cleartext storage) açığı bulunmaktadır. Bu jetonlar User.googleTokens sütununda şifrelenmeden saklanmaktadır. Saldırganlar, ele geçirilmiş veya açığa çıkmış bir Postgres veritabanından düz metin halindeki uzun ömürlü yenileme jetonlarını okuyarak, kayıtlı tüm kullanıcıların Google Search Console verilerine süresiz ve kimlik doğrulaması olmadan erişim elde edebilir.
Kaynaktaki açıklama (İngilizce)
crawlseo before version 0.2.5 contains a cleartext storage vulnerability that allows attackers with database read access to obtain Google OAuth access and refresh tokens stored unencrypted in the User.googleTokens column. Attackers can read the plaintext long-lived refresh tokens from a compromised or exposed Postgres database to gain indefinite, unauthenticated access to all registered users' Google Search Console data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| crawlseo | ≥ 0.1.0, < 0.2.5 | 0.2.5 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.