- Yama var
- Son 7 gün
- CWE-862
CVE-2026-116896
REDAXO backup eklentisinde yetkisiz tablo dışa aktarımı ve yetki yükseltme
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yetkisi kısıtlı bir kullanıcının sistemdeki kullanıcı ve oturum verilerini dışarı çıkarmasına izin veriyor; bu da yönetici hesaplarının ele geçirilmesi ve müşteri verilerinin sızması riski anlamına gelir. Etkilenen sistemlerin hızla güncellenmesi önerilir.
ÖzetTürkçe
REDAXO'nun 5.21.5 öncesi sürümlerinde backup eklentisinin dışa aktarma özelliği, hangi veritabanı tablosunun dışa aktarılacağını yeterince kısıtlamıyor. Bu nedenle backup[export] yetkisine sahip yönetici olmayan kullanıcılar rex_user ve rex_user_session gibi kimlik doğrulama tablolarını ve diğer uygulamaların tablolarını dışa aktarabiliyor. Etkilenen sürüm 5.21.5'ten önceki REDAXO çekirdeğidir.
Saldırgan ne yapabilir?
Saldırgan, düz metin oturum kimliklerini ve oturum açık kalma anahtarlarını elde ederek yönetici hesaplarını ele geçirebilir veya parola özetlerini çevrimdışı kırmaya çalışabilir.
Kaynaktaki açıklama (İngilizce)
REDAXO before 5.21.5 contains a missing authorization vulnerability in the backup addon export that accepts any database table, allowing non-admin users with the backup[export] permission to export rex_user, rex_user_session, and other applications' tables. Attackers can obtain plaintext session ids and stay-logged-in keys to take over admin accounts, or password hashes for offline cracking.
Ne yapmalı?
- REDAXO çekirdeğini 5.21.5 veya üstü bir sürüme güncelleyin. Üretici
- Güncellemeden önce backup[export] yetkisine sahip kullanıcıları gözden geçirin ve gereksiz olanların bu yetkisini kaldırın. Genel öneri
- Güncelleme sonrasında yönetici hesaplarının oturumlarını sonlandırın ve parolaları değiştirin; oturum açık kalma anahtarları da yenilenmelidir. Genel öneri
Ek önlemler
- Veritabanı yedeklerini ve dışa aktarma dosyalarını yalnızca yetkili yöneticilerin erişebileceği şekilde saklayın. Genel öneri
- Yedekleme eklentisinin dışa aktarma işlemlerini izleyin ve beklenmeyen tablo dışa aktarımlarını kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| redaxo core | < 5.21.5 | 5.21.5 |
| 5.21.5 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.