Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-116217

RosarioSIS'te menu_id parametresi üzerinden yansıtılmış siteler arası betik çalıştırma (XSS) açığı

francoisjacquet RosarioSIS

Orta 6,1 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
2 gün
Kaydı açan
VulnCheck

ÖzetTürkçe

12.9.2 sürümünden önceki RosarioSIS, modules/Food_Service/MenuReports.php dosyasında yansıtılmış (reflected) bir siteler arası betik çalıştırma (XSS) açığı içeriyor. Bu açık, kimlik doğrulaması yapılmamış saldırganların kaçışlanmamış (unescaped) menu_id ve modname parametreleri aracılığıyla öznitelik enjekte etmesine olanak tanıyor. Saldırganlar, oturum açmış bir yöneticiyi çift tırnak içindeki menu_id değeri onmouseover işleyicisi enjekte eden, özel hazırlanmış bir Modules.php bağlantısına yönlendirebilir; bu sayede oturum ve CSRF belirteçlerini çalıp yönetici adına işlem yapabilirler.

Kaynaktaki açıklama (İngilizce)

RosarioSIS before 12.9.2 contains a reflected cross-site scripting vulnerability in modules/Food_Service/MenuReports.php that allows unauthenticated attackers to inject attributes via unescaped menu_id and modname parameters. Attackers can lure a logged-in administrator to a crafted Modules.php link whose double-quoted menu_id injects an onmouseover handler, stealing session and CSRF tokens to act as the administrator.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
francoisjacquet RosarioSIS < 12.9.2 12.9.2
12.9.2 Etkilenmiyor –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.