Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-116900

REDAXO medya ve bağlantı giriş bileşenlerinde kalıcı siteler arası betik çalıştırma (XSS)

redaxo core

Orta 5,4 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, içerik düzenleyicilerinin hesabı üzerinden yöneticilerin oturumlarının ele geçirilmesine yol açabilir ve web sitesinin yönetim kontrolünün kaybedilmesi riskini doğurur. Sorun, içerik yönetim sisteminin çekirdek yazılımında giderilmiş olduğundan güncelleme ile hızlıca kapatılabilir. Bu nedenle güncellemenin öncelikli olarak planlanması önerilir.

ÖzetTürkçe

REDAXO içerik yönetim sisteminin 5.21.4 öncesi sürümlerinde, medya, medya listesi, bağlantı ve bağlantı listesi bileşenleri kaçışlanmamış değerleri sayfaya yazdığı için kalıcı bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Bu açık, içerik düzenleme yetkisine sahip kullanıcıların zararlı HTML kodu kaydetmesine olanak tanır. Etkilenen kişiler, REDAXO kurulumu bulunan ve düzenleyici yetkisi olan kullanıcıları barındıran sitelerin yöneticileridir.

Saldırgan ne yapabilir?

Saldırgan, hazırlanmış bir medya veya bağlantı değeri ile betik çalıştırabilir ve bunu arka uçtaki yönetici oturumlarında yürüterek yönetici hesaplarını ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

REDAXO before 5.21.4 contains a stored cross-site scripting vulnerability that allows content editors to inject HTML by storing unescaped values rendered by media, medialist, link and linklist widgets. Attackers can submit crafted REX_INPUT_MEDIA or REX_INPUT_LINK values that break out of the value attribute, executing script in administrators' backend sessions to hijack accounts.

Ne yapmalı?

  1. REDAXO çekirdeğini 5.21.4 veya sonraki bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde içerik düzenleme yetkisine sahip hesapların sayısını azaltın ve yalnızca güvenilir kullanıcılara bu yetkiyi verin. Genel öneri
  3. Yönetici hesaplarının kullandığı tarayıcılarda oturumları kapatın ve güncellemeden sonra yeniden giriş yaptırın. Genel öneri

Ek önlemler

  • Yönetim paneli erişimini mümkün olduğunca güvenilir ağlarla ve ek kimlik doğrulama ile sınırlandırın. Genel öneri
  • Medya ve bağlantı alanlarına beklenmedik HTML veya tırnak karakterleri içeren kayıtları düzenli olarak inceleyin. Genel öneri
  • Yönetici hesaplarında yetkisiz oturum etkinliği olup olmadığını günlük kayıtlarından izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.4 5.21.4
5.21.4 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.