Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-115541

HumHub arkadaşlık onay penceresinde depolanan siteler arası betik çalıştırma (XSS) açığı

HumHub Community Edition

Yüksek 7,2 CVSS 4.0
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Fluid Attacks

Yönetici özeti

Bu açık, sosyal platformu kullanan kullanıcıların hesaplarının ele geçirilmesine yol açabilecek bir risk taşımaktadır. Saldırı, sıradan bir kullanıcı hesabıyla yapılabildiği için kötüye kullanımı kolaydır. Bu nedenle, yazılımın güncellenmesi acil bir öncelik olarak ele alınmalıdır.

ÖzetTürkçe

HumHub Community Edition 1.19.0 sürümünde, arkadaşlık onay penceresindeki bir depolanan siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Düşük yetkili kimliği doğrulanmış bir üye, adı ve soyadı alanlarına HTML kodu kaydedebilir. Başka bir kullanıcı o profil için Arkadaş düğmesine tıkladığında, bu kod ilgili kullanıcının HumHub oturumu içinde çalışır. Etkilenen sürümler 1.18.7 öncesi ve 1.19.0 ile 1.19.1 öncesi sürümlerdir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın HumHub oturumu bağlamında zararlı betik çalıştırabilir; bu da hesap bilgilerinin ele geçirilmesine, kurbanın adına işlem yapılmasına ya da verilerin değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

HumHub Community Edition 1.19.0 contains a stored cross-site scripting vulnerability in the friendship confirmation dialog. An authenticated low-privileged member can save HTML in their first and last name. When another authenticated user clicks Friends for that profile, HumHub places the decoded display name into a modal through jQuery html(), causing attacker-controlled markup to execute in the victim's HumHub origin.

Üreticinin çözüm notu (İngilizce)

Upgrade the current line to HumHub 1.19.2 or later (1.19.3 is the current release), or the 1.18 maintenance line to 1.18.7 or later. The vendor fixed the issue in 1.19.1 and 1.18.7; 1.19.1 was not separately released.

Üreticinin geçici önlemi (İngilizce)

If an immediate upgrade is not possible, disable the friendship feature or restrict profile editing to trusted users. Review existing profile names for markup, but treat cleanup as a temporary mitigation rather than a fix.

Ne yapmalı?

  1. HumHub'ı 1.19 kolunda 1.19.1 veya sonrasına, 1.18 bakım kolunda ise 1.18.7 veya sonrasına yükseltin. Mevcut sürüm 1.19.3'tür ve 1.19.2 veya sonrası da bu açığı içermez. Üretici
  2. Güncelleme hemen yapılamıyorsa arkadaşlık özelliğini geçici olarak devre dışı bırakın ya da profil düzenleme yetkisini yalnızca güvenilir kullanıcılarla sınırlayın. Genel öneri
  3. Mevcut profil adlarını HTML etiketleri ya da şüpheli kodlar açısından inceleyin ve bulunanları temizleyin. Bu adım yalnızca geçici bir önlemdir, kalıcı çözüm değildir. Genel öneri

Ek önlemler

  • Kullanıcı profil alanlarında HTML ve betik içeriğine izin verilmediğinden emin olun. Genel öneri
  • Yeni kayıtlı kullanıcıların yetkilerini gözden geçirin ve gereksiz profil düzenleme haklarını kaldırın. Genel öneri
  • Uygulama günlüklerinde şüpheli profil adı değişikliklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
HumHub Community Edition < 1.18.7 1.18.7
≥ 1.19.0, < 1.19.1 1.19.1

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.