Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-862

CVE-2026-116893

REDAXO core rex_api_package API'sinde yetkilendirme eksikliği

redaxo core

Orta 6,8 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sitenin içerik yönetim sistemindeki yetki kontrolünün eksik olması nedeniyle ortaya çıkıyor. Yetkisi alınmış eski yöneticilerin aktif oturumları bile siteyi bozmak için kullanılabilir. Etki orta düzeyde olsa da işlem kesintisi riski nedeniyle güncellemenin planlı ama kısa sürede yapılması önerilir.

ÖzetTürkçe

REDAXO core sürümlerinde 5.21.5 öncesinde, rex_api_package API işlevinde yetkilendirme kontrolü eksik. Bu nedenle yönetici olmayan arka uç kullanıcıları, geçerli bir CSRF belirteciyle paket yönetimi işlemleri yapabiliyor. Etkilenen, REDAXO kurulumu kullanan sunucu ve siteler.

Saldırgan ne yapabilir?

Saldırgan, structure gibi sistem eklentilerini kaldırabilir (veritabanı tablolarını silerek), paketleri etkinleştirebilir, devre dışı bırakabilir veya yükleyebilir ve sistem olmayan paketleri silebilir. Bu, site işlevselliğini ciddi biçimde bozabilir.

Kaynaktaki açıklama (İngilizce)

REDAXO core before 5.21.5 contains a missing authorization vulnerability in the rex_api_package API function that lets non-admin backend users manage packages with only a valid CSRF token. Attackers holding a token, such as demoted admins with active sessions, can uninstall system addons like structure (dropping their database tables), deactivate, install, or activate packages, and delete non-system packages.

Ne yapmalı?

  1. REDAXO core sürümünü 5.21.5 veya üzeri bir sürüme güncelleyin. Üretici
  2. Yetkisi değiştirilmiş veya yönetici rolünden çıkarılmış kullanıcıların aktif oturumlarını sonlandırın. Genel öneri
  3. Güncelleme sonrasında eklenti ve paket durumlarını kontrol edin, beklenmeyen değişiklik olup olmadığını inceleyin. Genel öneri

Ek önlemler

  • Arka uç kullanıcı rollerini ve yetki atamalarını düzenli olarak gözden geçirin. Genel öneri
  • Paket yükleme, kaldırma ve etkinleştirme işlemlerini içeren yönetim kayıtlarını izleyin. Genel öneri
  • Yönetim paneline erişimi gerektiğinde ek kimlik doğrulama ve IP kısıtlaması gibi önlemlerle sınırlandırın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.5 5.21.5
5.21.5 Etkilenmiyor –

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.