Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117533

REDAXO medya havuzu SVG yüklemelerinde depolanmış XSS açığı

redaxo core

Orta 4,4 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sisteminizde içerik yönetim paneline erişimi olan kullanıcıların, yöneticilerin oturumlarını hedef alan zararlı dosyalar yayımlamasına olanak tanıyabilir. Sorun, yönetim panelinin güvenliğini ve yetkili hesapların bütünlüğünü etkileyebilir. Etkilenen sürümü kullanan kuruluşların bu güncellemeyi öncelikli olarak uygulaması önerilir.

ÖzetTürkçe

REDAXO 5.18.0 ile 5.21.4 öncesi sürümlerde, rex_media_service yüklenen SVG dosyalarını temizlemeden önce herkese açık medya klasörüne taşıdığı için depolanmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Medya havuzuna yükleme yetkisi olan kimlik doğrulamalı kullanıcılar, temizleme işlemiyle yarışarak ya da bellek sınırlarını zorlayarak betik içeren SVG dosyalarını herkese açık hale getirebilir. Etkilenen sistemler REDAXO çekirdek sürümleri 5.18.0 ile 5.21.4 öncesidir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın arka uç oturumunda zararlı betiklerin çalışmasını sağlayabilir. Bu, yönetici hesaplarının ele geçirilmesine ve sistem üzerinde yetkisiz işlemler yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

REDAXO from 5.18.0 before 5.21.4 contains a stored cross-site scripting vulnerability because rex_media_service moves uploaded SVG files into the public media folder before sanitizing them. Authenticated users with mediapool upload rights can race the sanitizer or exhaust memory limits to leave script-laden SVGs publicly served, executing scripts in victims' backend sessions.

Ne yapmalı?

  1. REDAXO çekirdeğini 5.21.4 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden önce medya havuzuna yükleme yetkisini yalnızca güvenilir kullanıcılarla sınırlandırın. Genel öneri
  3. Medya klasöründe yakın zamanda yüklenmiş SVG dosyalarını inceleyin ve şüpheli betik içerenleri kaldırın. Genel öneri

Ek önlemler

  • Yönetim paneli oturumlarında mümkün olduğunca kısa oturum süreleri ve güçlü kimlik doğrulama kullanın. Genel öneri
  • Yüklenen SVG dosyalarını doğrudan tarayıcıda açılabilir bir içerik olarak sunmak yerine, mümkünse yalnızca indirme olarak sunmayı değerlendirin. Genel öneri
  • Medya klasörüne yapılan yeni yüklemeleri ve beklenmeyen dosya değişikliklerini izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core ≥ 5.18.0, < 5.21.4 5.21.4
5.21.4 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.