- Yama var
- Son 7 gün
- CWE-290
- CWE-345
- CWE-915
CVE-2026-115933
Postiz'de imzalı token sahteciliği; kullanıcılar başka hesap ve kuruluşları ele geçirebilir
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- postiz
Yönetici özeti
Bu açık, kayıtlı bir kullanıcının diğer kullanıcıların ve kuruluşların hesaplarını ele geçirmesine olanak tanıyabilir; bu da veri sızıntısı ve yetkisiz değişiklik riski demektir. Sorun kritik düzeyde olduğu için sistemlerinizi hemen güncellemeniz gerekir.
ÖzetTürkçe
Postiz, oturum, davet ve şifre sıfırlama tokenlerini tek bir ortak gizli anahtarla imzalıyor ve tokenin hangi amaçla kullanıldığını belirten bir işaret içermiyor. Tarayıcı eklentisi kanallarının kimlik bilgilerini yenileyen bir uç nokta, istekten gelen verileri imzalayıp kullanıcının okuyabileceği bir yere kaydediyor. Etkilenen sürümler 2.15.0 ile 2.25.3 öncesidir; ayrıca ekip davetleri oluşturan ikinci bir uç nokta da benzer şekilde istek gövdesindeki ek alanları imzalıyor.
Saldırgan ne yapabilir?
Saldırgan, sıradan bir kayıtlı hesapla geçerli imzalı token üretip başka bir kullanıcının oturumunu açabilir, istediği rolle kuruluşa davet alabilir, şifre sıfırlayabilir ya da kurumsal sağlama tokeni elde edebilir.
Kaynaktaki açıklama (İngilizce)
Postiz signs its session, invitation and password reset tokens with one shared secret and without any marker of what a token is for. A route that refreshes the credentials of a browser-extension channel signed data taken from the request itself and stored the result where the requesting user can read it back. A user could therefore obtain a validly signed token containing any claims they choose, which the application accepts as a session, as an organization invitation with a chosen role, as a password reset or as an enterprise provisioning token.
A second, narrower route that creates team invitations signs extra fields from the request body in the same way.
Üreticinin geçici önlemi (İngilizce)
If you do not use channels that rely on the Postiz browser extension, block POST /integrations/extension-refresh at your reverse proxy. This removes the main signing route; the team invitation route remains.
Set DISABLE_REGISTRATION=true. The attacker needs an ordinary account, so closing self-registration limits exposure to people who already hold one. This reduces reach, it does not close the issue.
Ne yapmalı?
- Postiz uygulamasını 2.25.3 veya daha yeni bir sürüme yükseltin. Üretici
- Tarayıcı eklentisi kanallarını kullanmıyorsanız, ters proxy üzerinden POST /integrations/extension-refresh isteğini engelleyin. Bu, ana imzalama yolunu kapatır ancak ekip davet uç noktası açık kalır; bu nedenle güncelleme yerine geçmez. Üretici
- Ortam değişkeni DISABLE_REGISTRATION değerini true olarak ayarlayarak kendi kendine kayıt olmayı kapatın. Bu, saldırganın yalnızca mevcut bir hesabı olan kişilerle sınırlı kalmasını sağlar; sorunu tek başına çözmez. Üretici
- Güncelleme sonrasında beklenmedik oturum, davet veya şifre sıfırlama işlemlerini kontrol edin. Genel öneri
Ek önlemler
- Kullanıcı hesaplarında alışılmadık oturum açma ve davet kayıtlarını düzenli olarak inceleyin. Genel öneri
- Kayıt olabilen kullanıcı sayısını ihtiyaç duyulan ölçüde sınırlayın. Genel öneri
- Ters proxy ve uygulama günlüklerinde ilgili uç noktalara yapılan istekleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GitroomHQ postiz-app | ≥ 2.15.0, < 2.25.3 | 2.25.3 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.