- Yama var
- Son 7 gün
- CWE-863
CVE-2026-115509
Jitsu Console'da çalışma alanları arası yetki atlatma açığı
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Jitsu konsolunun 2.14.0-beta.41 sürümünden önceki sürümleri, sources/state.ts içindeki sources/state API işleyicilerinde yanlış yetkilendirme açığı içerir. Bu işleyiciler findFirst çağrısını await olmadan kullanır; bu nedenle syncId sahiplik kontrolü hiçbir zaman başarısız olmaz. Kimliği doğrulanmış kullanıcılar, başka bir çalışma alanına ait senkronizasyon kimliğini biliyorlarsa, o çalışma alanının akış imleçlerini okuyabilir, üzerine yazabilir veya silebilir; bu da verilerin yeniden alınmasına ya da verilerin atlanmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
Jitsu console before 2.14.0-beta.41 contains an incorrect authorization vulnerability in sources/state.ts handlers that call findFirst without await, so the syncId ownership check never fails. Authenticated users knowing another workspace's sync ID can read, overwrite or delete its stream cursors, causing data re-ingestion or skipped data.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| jitsucom jitsu | < 2.14.0-beta.41 | 2.14.0-beta.41 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/9359d575ba50cd383e7762f9034154dea9346eb3 Yama
- github.com/jitsucom/jitsu/issues/1242 Üçüncü taraf
- vulncheck.com/…ace-authorization-bypass-via-sources-state-api Üçüncü taraf
- github.com/…itsu/releases/tag/jitsu-services2.14.0-beta.41 Diğer
- github.com/jitsucom/jitsu Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.