- Yama var
- Son 7 gün
- CWE-639
CVE-2026-116898
REDAXO medya havuzu toplu taşıma işlevinde yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen bazı kullanıcıların yetkisi dışındaki medya dosyalarını değiştirebilmesine olanak tanır ve bu değişiklikler site genelinde fark edilmeden yayılabilir. Web sitenizin içeriğinin güvenilirliği ve marka itibarı açısından risk orta-yüksek düzeydedir. Güncellemenin hızla uygulanması önerilir.
ÖzetTürkçe
REDAXO CMS'in 5.21.4 öncesi sürümlerinde, medya havuzundaki toplu taşıma işlemi yalnızca hedef kategori üzerindeki yetkiyi kontrol eder, kaynak kategoriyi kontrol etmez. Bu nedenle, bir medya kategorisinde yetkisi bulunan kimliği doğrulanmış arka uç kullanıcıları, yetkisi olmayan kategorilerdeki dosyaları kendi kategorisine taşıyabilir. Etkilenen, REDAXO core sürümü 5.21.4'ten önce olan kurulumlardır.
Saldırgan ne yapabilir?
Saldırgan, yetkisi olmadığı kategorilerdeki dosyaların içeriğini değiştirerek bunları site genelinde sessizce yerine geçirebilir. Bu, sitenin görsel ve içerik bütünlüğünü bozabilir.
Kaynaktaki açıklama (İngilizce)
REDAXO before 5.21.4 contains a missing authorization vulnerability in the media pool bulk move that checks only target category permission, ignoring the source category. Authenticated backend users with permission for one media category can move files from restricted categories into it, then silently replace their contents site-wide.
Ne yapmalı?
- REDAXO core'u 5.21.4 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden önce medya havuzunun yedeğini alın ve son dönemde beklenmedik dosya değişikliği olup olmadığını kontrol edin. Genel öneri
- Güncelleme uygulanana kadar, arka uç erişimini yalnızca güvenilir yöneticilerle sınırlandırın ve medya kategorisi yetkilerini gözden geçirin. Genel öneri
Ek önlemler
- Medya dosyalarındaki değişiklikleri izlemek için dosya bütünlüğü kontrolü veya düzenli yedekleme uygulayın. Genel öneri
- Arka uç kullanıcılarına yalnızca gerekli medya kategorilerinde yetki verin ve kullanılmayan hesapları kaldırın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| redaxo core | < 5.21.4 | 5.21.4 |
| 5.21.4 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.