- Son 7 gün
- CWE-863
CVE-2026-116136
ProjectSend'de Dosya Sürümü Bağlama Üzerinden Yetkisiz Dosya Erişimi
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
ProjectSend 2.0.0 ile 2.7.1 arasındaki sürümlerde, FileVersions::link içinde yetkilendirme eksikliği bulunmaktadır. Bu durum, personel (staff) kullanıcılarının dosya sürümlerini bağlayarak dosyaları yetkisiz şekilde paylaşmasına olanak tanır. Saldırganlar, dosyalarını ara bir revizyona bağlayabilir ya da kapsam dışındaki istemcilere atama yapabilir. Bu da moveAssignmentsToRoot fonksiyonunun korumalı orijinal dosyaları yetkisiz istemcilere açmasına neden olur.
Kaynaktaki açıklama (İngilizce)
ProjectSend 2.0.0 through 2.7.1 contains an incomplete authorization vulnerability in FileVersions::link() that allows staff users to share files without authorization by linking file versions. Attackers can link their file onto an intermediate revision or assign out-of-scope clients, causing moveAssignmentsToRoot() to expose protected original files to unauthorized clients.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ProjectSend | ≥ 2.0.0, ≤ 2.7.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/a6ce4f51cfd05e1c9895f8daed261ef1fdfd194d Yama
- vulncheck.com/…correct-authorization-via-file-version-linking Üçüncü taraf
- github.com/projectsend/projectsend Diğer
- github.com/….1/app/Modules/Files/Versions/FileVersions.php Diğer
- github.com/….1/app/Modules/Files/Versions/FileVersions.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.