- Yama var
- Son 7 gün
- CWE-287
CVE-2026-117532
REDAXO Core history eklentisinde kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, web sitesinin yönetim paneline giriş yapmadan erişilmesine olanak tanıyabilir ve sitenin tam kontrolünün kaybedilmesine yol açabilir. Saldırı kolay olduğundan ve ciddiyeti çok yüksek olduğundan acil müdahale gerekir. Etkilenen sitelerin hemen güncellenmesi önerilir.
ÖzetTürkçe
REDAXO Core'un 5.3.0 sürümünden 5.21.4 öncesine kadar olan sürümlerinde, structure/history eklentisinde bir kimlik doğrulama atlatma açığı bulunmaktadır. Oturuma bağlı gizli değer öngörülebilir bir duruma zorlanabildiğinden, kimlik doğrulaması yapılmamış saldırganlar geçici giriş belirteçlerini sahteleyebilmektedir. Bu durum, etkilenen tüm REDAXO kurulumlarını kapsamaktadır.
Saldırgan ne yapabilir?
Saldırgan admin gibi hesaplar adına sahte belirteçle arka uca erişim sağlayabilir ve canlı mod dışında kod çalıştırabilir. Sonuç olarak sitenin tamamı ele geçirilebilir.
Kaynaktaki açıklama (İngilizce)
REDAXO core from 5.3.0 before 5.21.4 contains an authentication bypass vulnerability in the structure/history plugin that allows unauthenticated attackers to forge temporary login tokens. Attackers can force the session-tied secret into a predictable state and forge tokens for accounts like admin, gaining backend access and code execution outside live mode.
Ne yapmalı?
- REDAXO Core'u 5.21.4 veya sonraki bir sürüme yükseltin. Üretici
- Güncelleme sonrasında yönetim paneli hesaplarının erişim kayıtlarını ve beklenmeyen oturumları inceleyin. Genel öneri
- Güncelleme öncesinde mümkünse yönetim paneline erişimi ağ düzeyinde kısıtlayın. Genel öneri
Ek önlemler
- Yönetici hesaplarında güçlü parolalar kullanın ve mümkünse iki faktörlü doğrulamayı etkinleştirin. Genel öneri
- Yönetim paneli erişimini yalnızca güvenilir IP adresleriyle sınırlandırın. Genel öneri
- Beklenmeyen yönetici hesabı oluşturulması veya kod değişiklikleri için dosya ve günlük izleme yapın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| redaxo core | ≥ 5.3.0, < 5.21.4 | 5.21.4 |
| 5.21.4 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.