- Yama var
- Son 7 gün
- CWE-22
- CWE-74
CVE-2026-115932
Postiz gönderi medyasında yol geçişi (path traversal): kayıtlı kullanıcılar sunucu dosyalarını okuyabilir
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- postiz
Yönetici özeti
Bu açık, sisteminizdeki dosyaların üçüncü kişilerin eline geçmesine yol açabilir ve kritik düzeyde bir risk oluşturur. Açık kayıt özelliği varsayılan olarak açık olduğundan, saldırganın önceden hesabı olması da gerekmez. Bu nedenle güncellemenin hemen yapılması önerilir.
ÖzetTürkçe
Postiz, yayımlanan bir gönderideki web adresi olmayan medya yolunu sunucu diskinde bir dosya olarak ele alır, ancak dosyanın yükleme dizini içinde kaldığını doğrulamaz. Kayıtlı bir kullanıcı, kötü niyetli bir medya yolu ekleyerek bu kontrolleri aşabilir ve yayın çalışanının rastgele bir dosyayı okuyup kullanıcının kontrol ettiği bir Discord sunucusuna ek olarak göndermesini sağlayabilir. Etkilenen sürümler 2.23.0 ile 2.25.3 öncesidir.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki keyfi dosyaları okuyabilir ve bunları Discord üzerinden dışarı çıkarabilir. Ayrıca dosyanın varlığını öğrenebilir ve bellek tüketimi yaratarak hizmeti aksatabilir.
Kaynaktaki açıklama (İngilizce)
When a post is published, Postiz treats a media path that is not a web address as a file on the server's disk, but it does not check that the file lies inside the upload directory. A registered user can store a crafted media path with a post, get it past the checks that normally restrict it, and have the publishing worker read an arbitrary file and send it as an attachment to a Discord server the user controls.
The same unconfined reads can be reached through two further routes. One tells the caller whether a file exists and can exhaust the backend's memory, the other delivers the file the same way as the main route. Self-registration is open by default, so the attacker needs no existing account.
Üreticinin geçici önlemi (İngilizce)
Set DISABLE_REGISTRATION=true. The attacker needs an ordinary account, so closing self-registration limits exposure to people who already hold one. This reduces reach, it does not close the issue.
If you do not need the Discord provider, leave its client id, client secret and bot token unset. This removes the main route only; the other routes remain.
Ne yapmalı?
- Postiz uygulamasını 2.25.3 veya daha yeni bir sürüme yükseltin. Üretici
- Yeni kullanıcı kaydını kapatmak için kayıt özelliğini devre dışı bırakın (DISABLE_REGISTRATION=true olarak ayarlayın). Bu yalnızca saldırı yüzeyini azaltır, açığı kapatmaz. Üretici
- Discord sağlayıcısını kullanmıyorsanız, Discord istemci kimliği, istemci gizli anahtarı ve bot belirteci ayarlarını boş bırakın. Bu, yalnızca ana saldırı yolunu kapatır; diğer yollar açık kalır. Üretici
- Güncelleme sonrasına kadar, mevcut kullanıcı hesaplarını ve gönderi medya kayıtlarını gözden geçirerek şüpheli medya yolu içeren kayıtları inceleyin. Genel öneri
Ek önlemler
- Uygulamanın çalıştığı sunucuda, hassas dosyalara erişimi en az yetkiyle sınırlayın ve uygulama sürecinin okuyabildiği dizinleri daraltın. Genel öneri
- Giden ağ trafiğini ve dışarı yönelik Discord veya benzeri webhook isteklerini izleyerek beklenmeyen dosya aktarımlarını tespit edin. Genel öneri
- Yeni kullanıcı kayıtlarını ve yayın hatalarını düzenli olarak denetleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GitroomHQ postiz-app | ≥ 2.23.0, < 2.25.3 | 2.25.3 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.