- Son 7 gün
- CWE-79
CVE-2026-116212
Webasyst Framework Fotoğraf Albümü URL Alanında Kalıcı XSS Açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Webasyst Framework 4.4.0 sürümüne kadar olan sürümlerde, Photos uygulamasında album url parametresi üzerinden kimlik doğrulaması yapılmış arka uç kullanıcılarının JavaScript kodu enjekte etmesine izin veren kalıcı bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Albüm düzenleme yetkisine sahip saldırganlar, DialogAlbumSettings.html dosyasındaki kaçışlanmamış özniteliğden çıkabilen bir url değeri kaydedebilir ve bu sayede JavaScript kodu yöneticilerin arka uç oturumlarında çalıştırılabilir.
Kaynaktaki açıklama (İngilizce)
Webasyst Framework through 4.4.0 contains a stored cross-site scripting vulnerability in the Photos app that allows authenticated backend users to inject JavaScript via the album url parameter. Attackers with album edit rights can save a url value that breaks out of the unescaped attribute in DialogAlbumSettings.html, executing JavaScript in administrators' backend sessions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Webasyst Framework | ≤ 4.4.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/webasyst/webasyst-framework/issues/395 Üçüncü taraf
- vulncheck.com/…-through-4.4.0-stored-xss-via-photos-album-url Üçüncü taraf
- github.com/…plates/actions/dialog/DialogAlbumSettings.html Diğer
- github.com/…b/actions/album/photosAlbumSave.controller.php Diğer
- github.com/webasyst/webasyst-framework Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.