- Yama var
- Son 7 gün
- CWE-863
CVE-2026-116020
BookStack'te taslak sayfa ekleri için yetkisiz erişim zafiyeti
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
BookStack 26.09.2 sürümünden önce, AttachmentController bileşeninde yetkilendirme hatasına (yanlış yetkilendirme) yol açan bir zafiyet içermektedir. Bu zafiyet, kimliği doğrulanmış kullanıcıların ID'leri aracılığıyla diğer kullanıcıların taslak sayfa eklerine erişmesine olanak tanır. Ek izinlere sahip saldırganlar, ardışık ek ID'lerini sıralayarak diğer kullanıcıların yayımlanmamış taslak sayfalarındaki dosyaları indirebilir, yeniden adlandırabilir, bağlantılarını değiştirebilir veya dosyaların yerine yenilerini koyabilir.
Kaynaktaki açıklama (İngilizce)
BookStack before 26.09.2 contains an incorrect authorization vulnerability in AttachmentController that allows authenticated users to access other users' draft page attachments by ID. Attackers with attachment permissions can enumerate sequential attachment IDs to download, rename, relink, or replace files on another user's unpublished draft pages.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| BookStackApp BookStack | < 26.09.2 | 26.09.2 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- bookstackapp.com/blog/bookstack-release-v26-09-2 Üretici bülteni
- codeberg.org/…ommit/fcadecccda706b4ecaf9ac3f8e27defe0ebe78ae Yama
- vulncheck.com/…zation-via-attachmentcontroller-on-draft-pages Üçüncü taraf
- codeberg.org/bookstack/bookstack/releases/tag/v26.09.2 Diğer
- codeberg.org/…p/Uploads/Controllers/AttachmentController.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.