Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-863

CVE-2026-117472

Psono Server'da URL öneki işleme hatası nedeniyle API anahtarı okuma yetkisi aşılması

esaqa GmbH Psono

Orta 4,3 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
esaqa

Yönetici özeti

Bu açık, sistemdeki bazı yetki kontrollerinin beklenenden farklı çalışmasından kaynaklanıyor ve belirli bir yapılandırmayı kullanan kurumları etkiliyor. Kimlik doğrulaması yapılmış bir kullanıcı, okuma yetkisi olmadığı halde şifrelenmiş gizli verilere erişebilir. Etkilenen sistemlerin sürüm yükseltmesini planlı ama öncelikli biçimde yapmak önerilir.

ÖzetTürkçe

Psono Server'ın 4.0.33 ile 7.2.3 arasındaki sürümlerinde, toplu gizli veri okuma uç noktasının istek yolu sabit kodlanmış öneksiz bir yolla karşılaştırılıyor. URL_PREFIX yapılandırması kullanan kurulumlarda bu karşılaştırma başarısız oluyor ve POST isteği okuma yerine yazma yetkisiyle yetkilendiriliyor. Varsayılan yapılandırma (URL_PREFIX kullanılmadan) etkilenmiyor.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, okuma izni kapalı ancak yazma izni açık bir API anahtarıyla, şifrelenmiş gizli verileri ve nonce değerlerini öneklenmiş uç nokta üzerinden elde edebilir.

Kaynaktaki açıklama (İngilizce)

Psono Server CE && EE versions 4.0.33 through 7.2.3 compared the request path for the bulk-secret-read endpoint with a hard-coded unprefixed path. In deployments configured with URL_PREFIX, the comparison failed and the POST request was authorized using write scope instead of read scope. An authenticated remote attacker with an unusual read-disabled, write-enabled API key could therefore retrieve encrypted secret data and nonces through the prefixed bulk-secret-read endpoint despite lacking read permission. The default configuration without URL_PREFIX was not affected.

Üreticinin çözüm notu (İngilizce)

Upgrade to Psono Server 7.2.4 or later.

Ne yapmalı?

  1. Psono Server'ı 7.2.4 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar URL_PREFIX yapılandırmasını kullanan kurulumlarda, okuma izni kapalı API anahtarlarının kullanımını gözden geçirin ve gereksiz yazma yetkisi olan anahtarları devre dışı bırakın. Genel öneri

Ek önlemler

  • Yalnızca gerekli izinlere sahip API anahtarları oluşturun; okuma ve yazma yetkilerini ihtiyaca göre ayırın. Genel öneri
  • Toplu gizli veri okuma uç noktasına yapılan POST isteklerini izleyin ve beklenmedik erişim desenlerini inceleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
esaqa GmbH Psono ≥ 4.0.33, < 7.2.4 7.2.4

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.