- Son 7 gün
- CWE-59
CVE-2026-116213
Webasyst Framework'te waArchiveTar sembolik bağlantıları nedeniyle keyfi dosya okuma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Webasyst Framework 4.4.0 sürümüne kadar olan sürümlerde, waArchiveTar::writeItem fonksiyonunda keyfi dosya okuma açığı bulunmaktadır. Fonksiyon, tema arşivlerinden bağlantı hedeflerini doğrulamadan sembolik bağlantılar oluşturmaktadır. Tema yönetimi yetkisine sahip kimliği doğrulanmış kullanıcılar, wa-config/db.php veya /etc/passwd dosyalarına işaret eden sembolik bağlantılar içeren temalar yükleyebilmekte ve bu dosyaları genel tema yolu üzerinden okuyabilmektedir.
Kaynaktaki açıklama (İngilizce)
Webasyst Framework through 4.4.0 contains an arbitrary file read vulnerability in waArchiveTar::writeItem() that creates symlinks from theme archives without validating link targets. Authenticated users with theme management rights can upload themes containing symlinks to wa-config/db.php or /etc/passwd and read them through the public theme path.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Webasyst Framework | ≤ 4.4.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/webasyst/webasyst-framework/issues/396 Üçüncü taraf
- vulncheck.com/…-arbitrary-file-read-via-waarchivetar-symlinks Üçüncü taraf
- github.com/…120333af/wa-system/file/waArchiveTar.class.php Diğer
- github.com/…f9d25120333af/wa-system/file/waTheme.class.php Diğer
- github.com/webasyst/webasyst-framework Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.