- Yama var
- Son 7 gün
- CWE-862
CVE-2026-116208
YesWiki'de ActivityPub senkronizasyonunda yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
YesWiki 4.6.2 sürümünden 4.7.0 sürümünden önceki sürümlerde, ActivityPubService::syncActorPosts içinde yetkilendirme eksikliği bulunmaktadır. Bu durum, kötü niyetli ActivityPub sunucularının diğer aktörlerin yansıtılmış girdilerini değiştirmesine olanak tanır. Saldırganlar, yönetici tarafından başlatılan senkronizasyon sırasında zehirlenmiş bir outbox sunarak, aktörler arası Delete, Update veya Create etkinlikleriyle girdileri silebilir, üzerine yazabilir, sahteleyebilir veya toplu olarak silebilir. CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
Kaynaktaki açıklama (İngilizce)
YesWiki from 4.6.2 before 4.7.0 contains a missing authorization vulnerability in ActivityPubService::syncActorPosts that lets malicious ActivityPub servers manipulate other actors' mirrored entries. Attackers can serve a poisoned outbox with cross-actor Delete, Update, or Create activities during admin-initiated sync to delete, overwrite, forge, or mass-delete entries.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yeswiki | ≥ 4.6.2, < 4.7.0 | 4.7.0 |
| 4.7.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.