- Son 7 gün
- CWE-22
CVE-2026-117509
Rasa NLU Chi Model Persistor'da dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, Rasa NLU Chi kullanan sistemlerde saldırganların sunucudaki bazı dosyalara yetkisiz erişmesine olanak tanıyabilir. Kamuya açık bir istismar kodu bulunduğu için saldırı riski yüksektir. Proje henüz bir düzeltme yayımlamadığından, etkilenen sistemlerin bu riski azaltmak için hızlıca önlem alması gerekir.
ÖzetTürkçe
Rasa NLU Chi projesinin 0.12.2 sürümüne kadar olan sürümlerinde, rasa_nlu/persistor.py dosyasındaki Persistor._decompress fonksiyonu dosya yolu doğrulamasında bir hataya sahiptir. Bu hata, model dosyalarını açma sırasında dizin geçişi (path traversal) yapılmasına olanak tanır. Açık, uzaktan tetiklenebilir ve istismar kodu kamuya açıktır. Proje, sorunu bir issue bildirimiyle erken dönemde bilgilendirilmiş olmasına rağmen henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, sunucudaki hedef dizinin dışındaki dosyalara erişebilir, bu dosyaları okuyabilir veya değiştirebilir. Bu da hassas bilgilerin sızmasına ya da sistemde yetkisiz değişiklik yapılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was detected in crownpku Rasa_NLU_Chi up to 0.12.2. Affected is the function Persistor._decompress of the file rasa_nlu/persistor.py of the component Model Persistor. The manipulation results in path traversal. The attack may be launched remotely. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Proje henüz bir düzeltme yayımlamadığı için resmi bir sabit sürüm bilgisi bulunmamaktadır. Etkilenen sürümler 0.12.0, 0.12.1 ve 0.12.2 olarak belirtilmiştir; bu sürümleri kullanan sistemler güvenli bir sürüme geçene kadar izole edilmelidir. Genel öneri
- Model dosyalarının yalnızca güvenilir kaynaklardan yüklenmesini sağlayın ve dışarıdan gelen model veya arşiv dosyalarının işlenmesini geçici olarak durdurun. Genel öneri
- Rasa NLU Chi uygulamasının çalıştığı süreci, yalnızca gerekli dizinlere okuma ve yazma izni olacak şekilde kısıtlayın, en az ayrıcalık ilkesini uygulayın. Genel öneri
- Uygulamanın dış ağa açık arayüzlerini kapatın veya erişimi ağ düzeyinde yalnızca yetkili istemcilerle sınırlandırın. Genel öneri
Ek önlemler
- Proje geliştiricilerinden bir düzeltme yayımlanana kadar sürümü ve yayın notlarını düzenli olarak kontrol edin. Genel öneri
- Model yükleme ve açma işlemlerine ait sistem günlüklerini izleyerek beklenmeyen dosya yolu erişimlerini tespit edin. Genel öneri
- Uygulamayı çalıştıran hesabın erişebildiği dizinleri gözden geçirerek gereksiz erişimleri kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| crownpku Rasa NLU Chi | 0.12.0 | – |
| 0.12.1 | – | |
| 0.12.2 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117509 Üçüncü taraf
- vuldb.com/submit/1024527 Üçüncü taraf
- github.com/crownpku/Rasa_NLU_Chi/issues/138 Üçüncü taraf
- github.com/user-attachments/files/33302165/poc.zip İstismar kodu ya da analiz
- vuldb.com/vuln/427075 Diğer
- vuldb.com/vuln/427075/cti Diğer
- github.com/crownpku/Rasa_NLU_Chi Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.