Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-352

CVE-2026-117536

REDAXO kullanıcı yönetiminde CSRF koruması atlatma ve yetki yükseltme açığı

redaxo core

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sisteminizin yönetim paneline erişimi olan kişilerin hesaplarını ele geçirilmeye ya da devre dışı bırakılmaya açık hale getirebilir. Kötü niyetli bir bağlantıya tıklanması yeterli olabileceğinden, sistem yöneticilerinin bu güncellemeyi öncelikli olarak uygulaması önerilir.

ÖzetTürkçe

REDAXO içerik yönetim sisteminin 5.21.3 öncesi sürümlerinde, arka uç kullanıcı yönetimi sayfasında (users/users) CSRF koruması yalnızca save parametresi gönderildiğinde çalışmaktadır. FUNC_UPDATE ile tetiklenen güncelleme yolu ise CSRF belirteci gerektirmemektedir. Bu nedenle users[] yetkisine sahip oturum açmış bir arka uç kullanıcısı etkilenebilir.

Saldırgan ne yapabilir?

Saldırgan, oturum açmış bir yöneticiyi hazırlanmış bir GET bağlantısına tıklatarak kendisine yönetici yetkisi verdirebilir, hesapları devre dışı bırakabilir veya tek yöneticinin erişimini kilitleyebilir.

Kaynaktaki açıklama (İngilizce)

REDAXO before 5.21.3 contains a cross-site request forgery vulnerability in the backend user administration page (users/users) because the CSRF token check only runs when the save parameter is set, while the update path triggered by FUNC_UPDATE does not require it. Attackers can lure a logged-in backend user with the users[] permission to a crafted GET link to grant administrator rights, deactivate accounts, or lock out the sole administrator.

Ne yapmalı?

  1. REDAXO çekirdeğini 5.21.3 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde arka uç kullanıcı listesini ve yönetici yetkilerini gözden geçirin; beklenmeyen yetki değişikliklerini kontrol edin. Genel öneri
  3. Güncelleme tamamlanana kadar arka uç kullanıcılarının yönetim sayfasına, özellikle users[] yetkisine sahip hesapların şüpheli bağlantılara tıklamasını engelleyin. Genel öneri

Ek önlemler

  • Yönetim paneline erişimi olan kullanıcıların sayısını en aza indirin ve yalnızca gerekli yetkileri verin. Genel öneri
  • Yönetici hesaplarında oturum açmış kullanıcıların e-postalardaki ve sosyal medyadaki bağlantılara dikkatli yaklaşmasını sağlayın. Genel öneri
  • Kullanıcı hesaplarındaki yetki ve durum değişikliklerini izleyin ve beklenmeyen değişiklikleri inceleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.3 5.21.3
5.21.3 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.