Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117493

Sisense Cloud BI Platform BloX widget'larında kalıcı XSS açığı

Sisense Cloud BI Platform

Yüksek 8,3 CVSS 4.0
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
INCIBE

Yönetici özeti

Bu açık, BI platformundaki raporlara erişimi olan kullanıcıların hesaplarının ve verilerinin ele geçirilmesine yol açabilir. Satıcı henüz bir düzeltme yayımlamadığı için riski geçici olarak azaltmak adına ek önlemler alınmalıdır. Platformu kullanan tüm ekiplerin bu konuda hızlı hareket etmesi önerilir.

ÖzetTürkçe

Sisense Cloud BI Platform'un BloX widget'ları, 'desc' ve 'text' parametreleri üzerinden gelen HTML ve JavaScript içeriğini filtrelemeden kabul etmektedir. Bu içerik, widget görüntülendiğinde tarayıcıda çalıştırılır ve kalıcı siteler arası betik çalıştırma (XSS) açığına yol açar. Etkilenen taraflar, bu platformu kullanan ve widget içeriği oluşturabilen ya da görüntüleyen kuruluşlar ve kullanıcılardır.

Saldırgan ne yapabilir?

Saldırgan, zararlı betiği bir widget'a kaydederek, bu widget'ı görüntüleyen kullanıcıların tarayıcısında betik çalıştırabilir. Bu sayede oturum bilgileri ve o bağlamda erişilebilen verilerin ele geçirilmesi mümkün hale gelir.

Kaynaktaki açıklama (İngilizce)

Stored cross-site scripting (XSS) in BloX widgets. The /api/dashboards/<id>/widgets/<id> API accepts HTML and JavaScript content in the ‘desc’ and ‘text’ parameters. The code entered is executed in the browser when the widget is rendered, which could compromise the confidentiality of the information accessible in that context.

Üreticinin çözüm notu (İngilizce)

No solution has been reported as yet.

Ne yapmalı?

  1. Satıcı henüz bir çözüm bildirmediği için, düzeltme yayımlanana kadar ve yayımlandıktan sonra satıcının resmi duyurularını takip edin. Genel öneri
  2. Widget içeriğini oluşturma ve düzenleme yetkisini yalnızca güvendiğiniz kullanıcılarla sınırlandırın. Genel öneri
  3. Mevcut BloX widget'larını, özellikle içerik alanlarında beklenmeyen HTML veya betik kodu bulunup bulunmadığını kontrol ederek gözden geçirin ve şüpheli olanları kaldırın. Genel öneri
  4. Yönetici ve hassas veri içeren panolara erişimi olan kullanıcıların oturumlarını gözden geçirin ve gerekli görülürse oturumları sonlandırın. Genel öneri

Ek önlemler

  • Widget içeriklerinde beklenmeyen betik etiketi veya olay işleyicisi (event handler) kullanımını izleyin. Genel öneri
  • Platform yönetici erişimlerini en az yetki ilkesine göre düzenleyin ve çok faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
  • Tarayıcı tarafında içerik güvenlik politikası (CSP) gibi ek korumaların uygulanabilirliğini değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Sisense Cloud BI Platform Sürüm belirtilmemiş –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.