Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117537

REDAXO metainfo API type parametresinde yansıyan siteler arası betik çalıştırma (XSS)

redaxo core

Orta 4,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sisteme giriş yapmış kötü niyetli kullanıcıların yönetici panelindeki oturumları ele geçirmesine olanak tanıyabilir. Saldırının gerçekleşmesi için hedef kişinin hazırlanmış bir bağlantıya tıklaması gerekir, bu nedenle risk orta düzeydedir. Yine de web sitesi yönetim araçlarını kullanan işletmeler için sürümün mümkün olan en kısa sürede güncellenmesi önerilir.

ÖzetTürkçe

REDAXO içerik yönetim sisteminin 5.21.0 öncesi sürümlerinde, metainfo_default_fields_create API'sinin type parametresi üzerinden yansıyan bir siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Saldırgan, geçerli bir CSRF belirteci ve HTML içeren bir bağlantı hazırlayabilir; rex_view::message bu içeriği kaçışlandırmadan gösterdiği için kod çalıştırılabilir. Etkilenen sürüm: 5.21.0 öncesi REDAXO çekirdeği.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, hedef kullanıcının arka uç oturumunda kendi betiğini çalıştırabilir. Bu, oturum bilgilerinin ele geçirilmesine veya yönetici adına istenmeyen işlemler yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

REDAXO before 5.21.0 contains a reflected cross-site scripting vulnerability that allows authenticated attackers to inject scripts via the type parameter of the metainfo_default_fields_create API. Attackers can craft a link with a valid CSRF token and HTML payload that rex_view::message() renders unescaped, executing scripts in a victim's backend session.

Ne yapmalı?

  1. REDAXO çekirdeğini 5.21.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde yönetici hesaplarına, şüpheli bağlantılara tıklamamaları yönünde kısa bir uyarı gönderin. Genel öneri
  3. Güncelleme tamamlanana kadar arka uç erişimini yalnızca güvenilen ağlarla ve kısıtlı IP adresleriyle sınırlandırın. Genel öneri

Ek önlemler

  • Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın ve yönetici oturumlarının süresini kısa tutun. Genel öneri
  • Arka uç erişim kayıtlarını düzenli olarak inceleyin ve olağandışı parametre içeren istekleri takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.0 5.21.0
5.21.0 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.