- Yama var
- Son 7 gün
- CWE-639
CVE-2026-116018
ONEARMY community-platform'da bildirim okundu uç noktasında yetkisiz nesne erişimi zafiyeti
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
ONEARMY community-platform, 2.165.2 sürümünden önceki sürümlerde, kimliği doğrulanmış kullanıcıların POST /api/notifications/:id/read uç noktası üzerinden diğer kullanıcıların bildirimlerini okundu olarak işaretlemesine izin veren güvensiz doğrudan nesne referansı (IDOR) zafiyeti içermektedir. Saldırganlar, ardışık bildirim kimliklerini sırayla deneyerek aynı kiracıdaki kullanıcıların okunmamış bildirim göstergelerini gizleyebilmekte ve bu sayede kullanıcıların yanıtları, yorumları ve yeni içerik bildirimlerini kaçırmasına neden olabilmektedir.
Kaynaktaki açıklama (İngilizce)
ONEARMY community-platform before 2.165.2 contains an insecure direct object reference vulnerability that allows authenticated users to mark other users' notifications as read via POST /api/notifications/:id/read. Attackers can iterate sequential notification IDs to suppress unread indicators of users in the same tenant, causing them to miss replies, comments and new-content notices.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ONEARMY community-platform | < 2.165.2 | 2.165.2 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/ONEARMY/community-platform/pull/5011 Yama
- github.com/…ommit/571732c26caf1a0a46e5335d275cef2e19dfab08 Yama
- github.com/ONEARMY/community-platform/issues/5022 Üçüncü taraf
- hackmd.io/…army-community-platform-notification-read-idor Üçüncü taraf
- vulncheck.com/…re-2.165.2-idor-via-notification-read-endpoint Üçüncü taraf
- github.com/ONEARMY/community-platform/releases/tag/v2.165.2 Diğer
- github.com/…163.2/src/routes/api.notifications.$id.read.ts Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.