- Son 7 gün
- CWE-74
- CWE-94
CVE-2026-117526
redux-devtools Remotedev Server evalAction fonksiyonunda kod enjeksiyonu
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, yalnızca geliştirme ortamında yerel erişimi olan kişilerin kötüye kullanabileceği bir tür yazılım hatasıdır. Halka açık bir istismar kodu mevcut olduğu ve proje henüz bir düzeltme yayımlamadığı için orta düzeyde bir risk taşımaktadır. Ekiplerin bu aracı kullanan geliştirme makinelerini gözden geçirmesi ve riski azaltacak önlemleri uygulaması önerilir.
ÖzetTürkçe
redux-devtools 5.0.0 sürümünde, Remotedev Server bileşeninin evalAction fonksiyonunda bir güvenlik açığı tespit edildi. Fonksiyona verilen action argümanı işlenirken kontrol edilmediği için saldırganın kendi kodunu çalıştırabildiği bildiriliyor. Saldırı yalnızca yerel erişimle mümkün olduğundan, etkilenen ortam esas olarak bu bileşeni çalıştıran geliştirici veya yerel makinelerdir. Açığın kamuya açık bir istismar kodu bulunmaktadır ve proje, sorun bildirimi yoluyla uyarılmasına rağmen henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Yerel erişimi olan bir saldırgan, bileşenin çalıştığı kullanıcı yetkileriyle keyfi kod çalıştırabilir. Bu, dosyaların okunması, değiştirilmesi veya sistem üzerinde yetkisiz işlemler yapılması anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was found in reduxjs redux-devtools 5.0.0. Affected by this vulnerability is the function evalAction of the component Remotedev Server. The manipulation of the argument action results in code injection. The attack is only possible with local access. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Bu sürüm için satıcının bilinen bir düzeltmesi bulunmamaktadır. Proje sorunu almış ancak henüz yanıt vermemiştir, bu nedenle düzeltilmiş bir sürüm çıkana kadar geçici önlemlere başvurulmalıdır. Genel öneri
- Remotedev Server bileşeninin gerekli olmadığı ortamlarda bu bileşeni devre dışı bırakın veya kaldırın. Genel öneri
- Bileşeni kullanmanız gerekiyorsa, yalnızca güvenilir yerel ortamlarda çalıştırın ve yerel erişimi olan kullanıcıları kısıtlayın. Genel öneri
- Güvenlik duyuruları ve proje deposu için takip yapın; düzeltme yayımlandığında sürümü hemen güncelleyin. Genel öneri
Ek önlemler
- Geliştirici makinelerinde yetkisiz yerel kullanıcı hesaplarını ve paylaşımlı oturumları kısıtlayın. Genel öneri
- Geliştirme araçlarının dinlediği ağ bağlantılarını ve açık portları düzenli olarak kontrol edin. Genel öneri
- Beklenmeyen süreç çalıştırma veya şüpheli kod yürütme belirtilerini izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| reduxjs redux-devtools | 5.0.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117526 Üçüncü taraf
- vuldb.com/submit/1025061 Üçüncü taraf
- github.com/reduxjs/redux-devtools/issues/2125 İstismar kodu ya da analiz
- vuldb.com/vuln/427087 Diğer
- vuldb.com/vuln/427087/cti Diğer
- github.com/reduxjs/redux-devtools Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.