Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306

CVE-2026-116485

danmu_api ortam yapılandırma uçlarında varsayılan jeton ile kimlik doğrulama atlatma

huangxd- Danmu Api

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
2 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, internete açık bir servisin yönetim ayarlarının kimlik doğrulaması olmadan değiştirilmesine izin verir ve saldırganların sistemi yöneticilerin elinden almasına olanak tanır. Hizmetin kesintiye uğraması, veri sızıntısı ve sistemin kötüye kullanılması gibi ciddi iş riskleri doğurur. Kritik seviyede olduğu için en kısa sürede güncelleme yapılması önerilir.

ÖzetTürkçe

danmu_api uygulamasının 1.21.7 öncesi sürümlerinde, varsayılan TOKEN kullanıldığında ve ADMIN_TOKEN ayarlanmadığında ortam yapılandırma uçları kimlik doğrulaması olmadan erişilebilir hale gelmektedir. Etkilenen kurulumlar, varsayılan ayarlarla çalışan ve yönetici jetonu tanımlanmamış tüm sunuculardır. Kimlik doğrulaması yapılmayan saldırganlar, bu nedenle sunucu yapılandırmasını değiştirebilmektedir.

Saldırgan ne yapabilir?

Saldırgan, /api/env/set, /api/env/add ve /api/env/del uçlarına gönderdiği POST istekleriyle ADMIN_TOKEN değerini ayarlayıp yöneticileri sistemden kilitleyebilir, OTHER_SERVER ya da PROXY_URL değerlerini yönlendirerek SSRF saldırısı gerçekleştirebilir ve sunucunun yeniden dağıtımını tetikleyebilir.

Kaynaktaki açıklama (İngilizce)

danmu_api before 1.21.7 contains an authentication bypass vulnerability that allows unauthenticated attackers to modify server environment configuration when the default TOKEN is used and ADMIN_TOKEN is unset. Attackers can send POST requests to /api/env/set, /api/env/add, or /api/env/del to set ADMIN_TOKEN, lock out operators, redirect OTHER_SERVER or PROXY_URL for SSRF, and trigger redeployment.

Ne yapmalı?

  1. danmu_api uygulamasını 1.21.7 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde ADMIN_TOKEN ortam değişkeninin tanımlı ve varsayılan değerden farklı bir değere sahip olduğunu kontrol edin. Genel öneri
  3. Güncelleme tamamlanana kadar uygulamayı internete doğrudan açık bırakmayın; erişimi güvenilir ağlarla sınırlandırın. Genel öneri
  4. Sunucu ortam değişkenlerinde beklenmeyen değişiklik olup olmadığını inceleyin ve şüpheli değişiklik varsa kimlik bilgilerini yenileyin. Genel öneri

Ek önlemler

  • /api/env/ ile başlayan yönetim uçlarına yalnızca yetkili ağ adreslerinden erişime izin verin. Genel öneri
  • Varsayılan kimlik bilgilerinin hiçbir zaman üretim ortamında kullanılmamasını sağlayın. Genel öneri
  • Ortam değişkenlerindeki değişiklikleri ve yeniden dağıtım olaylarını izleyerek uyarı üretin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
huangxd- Danmu Api < 1.21.7 1.21.7
1.21.7 Etkilenmiyor –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.