Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117535

REDAXO Medya Havuzu'nda opener_link parametresi üzerinden yansıyan XSS açığı

redaxo core

Orta 6,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sisteme yönetici paneli üzerinden erişen çalışanların hesaplarının ele geçirilmesine ve sistemde kontrolsüz değişiklik yapılmasına yol açabilir. Saldırının başarılı olması için bir kullanıcının kötü niyetli bir bağlantıya tıklaması yeterlidir. Bu nedenle sürümün hızla güncellenmesi önerilir.

ÖzetTürkçe

REDAXO'nun 5.21.3 sürümünden önceki sürümlerinde, arka uç medya havuzu detay sayfasındaki opener_link parametresi HTML kaçışı (escaping) yapılmadan sayfaya yazılmaktadır. Bu nedenle sayfaya zararlı bir bağlantıyla yönlendirilen, medya yetkisine sahip oturum açmış arka uç kullanıcıları etkilenebilir. Saldırı için kimlik doğrulaması gerekmemektedir, ancak hedef kullanıcının bağlantıya tıklaması gerekir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın tarayıcısında betik çalıştırabilir, CSRF belirtecini okuyarak kurbanın yetkileriyle işlem yapabilir. Kurban yönetici ise şablon veya modül değişiklikleri yoluyla uzaktan kod çalıştırma elde edilebilir.

Kaynaktaki açıklama (İngilizce)

REDAXO before 5.21.3 contains a reflected cross-site scripting vulnerability in the backend media pool detail page, where the opener_link parameter is rendered without HTML escaping. Unauthenticated attackers can lure logged-in backend users with media permissions into clicking a crafted link. The injected script can then read the CSRF token and perform actions with the victim's permissions, including code execution via template or module edits when the victim is an administrator.

Ne yapmalı?

  1. REDAXO'yu 5.21.3 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme tamamlanana kadar arka uç medya havuzu detay sayfasına yönelik bağlantıların şüpheli kaynaklardan gelmesini engelleyin ve kullanıcıları bu konuda bilgilendirin. Genel öneri
  3. Arka uç kullanıcılarının bilinmeyen bağlantılara tıklamamasını hatırlatın, özellikle yönetici yetkisine sahip hesaplarda bu konuya dikkat edin. Genel öneri

Ek önlemler

  • Yönetici hesaplarının yetkilerini yalnızca gerekli olduğu durumlarda kullanın ve gereksiz yönetici yetkilerini kaldırın. Genel öneri
  • Arka uç erişim kayıtlarını düzenli olarak inceleyerek olağan dışı şablon veya modül değişikliklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.3 5.21.3
5.21.3 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.