- Yama var
- Son 7 gün
- CWE-73
- CWE-470
CVE-2026-115931
Postiz'de yetkisiz fonksiyon çağrısı; dosya okuma ve sunucu çökertme açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- postiz
Yönetici özeti
Bu açık, sistemdeki gizli anahtarların ve bağlı hesapların ele geçirilmesine yol açabilir ve hizmetin kesintiye uğramasına neden olabilir. Kayıt açık olduğu için saldırganın önceden hesabı olması gerekmez, bu nedenle risk yüksektir ve acil işlem gerektirir.
ÖzetTürkçe
Postiz uygulamasında oturum açmış bir kullanıcı, bağlı kanallarında arka uç tarafından çalıştırılacak fonksiyonları talep edebilmektedir. Arka uç hangi fonksiyonların çağrılabileceğini kısıtlamadığı için, web arayüzünden erişilmemesi gereken iç yardımcı fonksiyonlar da çağrılabilmektedir. Etkilenen sürümler 2.23.0 ile 2.25.2 öncesidir.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki okunabilen herhangi bir dosyanın içeriğini elde edebilir; bu dosyalar arasında oturum imzalama anahtarı, veritabanı adresi ve bağlı servislerin kimlik bilgileri de bulunabilir. Ayrıca tek bir istekle arka uç sürecini sonlandırarak hizmeti kesebilir.
Kaynaktaki açıklama (İngilizce)
Postiz lets a signed-in user ask the backend to run a function on one of their connected channels. The backend did not restrict which functions can be requested, so a user could call internal helper functions that were never meant to be reachable from the web interface.
One of those helpers reads a file from the server's disk. A user who connects a channel whose stored token is a file path can have the backend return the contents of any file it can read, including its environment, which holds the secret used to sign login sessions, the database address and the credentials of connected services. Another helper makes the backend process exit with a single request. Self-registration is open by default, so no existing account and no action by another user is needed.
Üreticinin geçici önlemi (İngilizce)
Set DISABLE_REGISTRATION=true. The attacker needs an ordinary account, so closing self-registration limits exposure to people who already hold one. This reduces reach, it does not close the issue.
Ne yapmalı?
- Postiz uygulamasını 2.25.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar DISABLE_REGISTRATION=true ayarını etkinleştirerek yeni hesap kaydını kapatın. Bu yalnızca riski azaltır, açığı kapatmaz. Üretici
- Güncelleme sonrasında, sunucuda kullanılan gizli anahtarları, veritabanı ve bağlı servis kimlik bilgilerini yenileyin, çünkü bu bilgiler açık sırasında okunmuş olabilir. Genel öneri
- Sunucu erişim ve uygulama günlüklerini, olağan dışı dosya erişimi ve beklenmedik süreç sonlanmalarına karşı inceleyin. Genel öneri
Ek önlemler
- Mevcut kullanıcı hesaplarını gözden geçirin ve kullanılmayan veya şüpheli hesapları devre dışı bırakın. Genel öneri
- Uygulama sürecini en az yetkiyle çalıştırarak okunabilen dosya kapsamını sınırlayın. Genel öneri
- Gizli anahtarları uygulama ortam dosyası yerine güvenli bir gizli bilgi yönetim çözümünde saklamayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GitroomHQ postiz-app | ≥ 2.23.0, < 2.25.2 | 2.25.2 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.