- Yama var
- Son 7 gün
- CWE-942
CVE-2026-116748
Transmission RPC sunucusunda CORS yapılandırma hatası anti-CSRF belirtecini sızdırıyor
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Transmission 4.0.0 sürümünden 4.1.3 öncesine kadar olan sürümlerde, dosyasındaki handle_request fonksiyonu izin verici bir CORS yapılandırması içerir ve bu durum X-Transmission-Session-Id anti-CSRF belirtecini herhangi bir web kaynağına açar. Kötü amaçlı web sayfaları, 409 el sıkışma yanıtından belirteci okuyabilir ve bunu RPC çağrıları yapmak için yeniden kullanabilir. Bu da script-torrent-done betiğinin çalıştırılmasına, indirme dizininin değiştirilmesine veya torrent ile verilerin silinmesine olanak tanır.
Kaynaktaki açıklama (İngilizce)
Transmission 4.0.0 before 4.1.3 contains a permissive CORS vulnerability in handle_request() in rpc-server.cc that exposes the X-Transmission-Session-Id anti-CSRF token to any web origin. Malicious web pages can read the token from the 409 handshake response and replay it to issue RPC calls, enabling script-torrent-done execution, download-dir changes, or torrent and data deletion.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| transmission | ≥ 4.0.0, < 4.1.3 | 4.1.3 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/transmission/transmission/pull/8938 Yama
- github.com/…ommit/c6a1bd2017a0fea9c956737c213f23e4b0f7929e Yama
- joshua.hu/transmission-cors-rpc-csrf-rce-drive-by-exploit Üçüncü taraf
- vulncheck.com/….1.3-permissive-cors-leaks-rpc-anti-csrf-token Üçüncü taraf
- github.com/transmission/transmission Diğer
- github.com/transmission/transmission/releases/tag/4.1.3 Diğer
- github.com/…ssion/blob/4.1.2/libtransmission/rpc-server.cc Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.