Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-269

CVE-2026-117468

Psono Server cihaz kodu talebinde kısıtlı token yetkisi yükseltme açığı

esaqa GmbH Psono

Orta 6,5 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
esaqa

Yönetici özeti

Bu açık, kimliği doğrulanmış bir kullanıcının sınırlı erişim haklarını genişletmesine olanak tanıyan bir yetki hatasıdır. Başarılı bir saldırı, parola yöneticisi verilerinin yetkisiz şekilde değiştirilmesi riskini doğurur. Üretici tarafından düzeltilmiş sürüm yayımlandığından, etkilenen sistemlerin kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

Psono Server'ın 5.3.5 ile 7.2.3 arasındaki sürümlerinde, cihaz kodu talep edilirken token yazma kapsamını denetlemeyen bir yetki sınıfı kullanılıyordu. Kimliği doğrulanmış bir saldırgan, kısıtlı bir API anahtarından türetilmiş oturumla saldırgana ait bir cihaz kodunu talep edebiliyordu. Bu durum, tam okuma-yazma yetkili ve 365 güne kadar geçerli bir oturum elde edilmesine yol açıyordu. Açık, sahip olunan orijinal token kapsamını ve süre kısıtlarını aşıyordu.

Saldırgan ne yapabilir?

Saldırgan, kısıtlı yetkisini tam okuma-yazma yetkisine yükseltebilir ve bu oturumla verilere erişim ve değişiklik yapabilir. İki faktörlü kimlik doğrulama atlatılmamış ve düz metin sırların doğrudan ifşası söz konusu değildir.

Kaynaktaki açıklama (İngilizce)

Psono Server versions 5.3.5 through 7.2.3 used a permission class that did not enforce token write scope when claiming a device code. An authenticated remote attacker holding a restricted API key-derived session could claim an attacker-controlled device code and obtain a full read-write session valid for up to 365 days, bypassing the original token's scope and lifetime restrictions. This did not bypass two-factor authentication or directly disclose plaintext secrets.

Üreticinin çözüm notu (İngilizce)

Upgrade to Psono Server 7.2.4 or later.

Ne yapmalı?

  1. Psono Server'ı 7.2.4 veya daha yeni bir sürüme yükseltin. Üretici
  2. Güncelleme öncesinde, kısıtlı API anahtarlarından oluşturulmuş ve şüpheli olabilecek oturumları gözden geçirip gerekirse iptal edin. Genel öneri

Ek önlemler

  • API anahtarlarının kapsamını en az yetki ilkesine göre sınırlayın ve kullanılmayan anahtarları düzenli olarak iptal edin. Genel öneri
  • Yetki yükseltmeye işaret edebilecek beklenmedik oturum oluşturma ve cihaz kodu eşleştirme olaylarını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
esaqa GmbH Psono ≥ 5.3.5, < 7.2.4 7.2.4

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.