Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-117538

REDAXO arka yüz paketler API'sinde yansıtılan (reflected) siteler arası betik çalıştırma (XSS) açığı

redaxo core

Orta 4,1 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, yönetici hesabıyla oturum açmış bir çalışanın kötü niyetli bir bağlantıya tıklaması durumunda, site yönetim panelinin saldırgan tarafından kontrol edilmesine yol açabilir. Saldırının gerçekleşmesi için kullanıcının etkileşimi ve belirli koşullar gerekir, bu nedenle risk orta düzeydedir. Yine de sürüm güncellemesi kolay ve hızlı yapılabileceği için önceliklendirilmesi önerilir.

ÖzetTürkçe

REDAXO'nun 5.21.0 öncesi sürümlerinde, arka yüzdeki paketler API'si bir fonksiyon parametresini hata mesajına HTML kaçışı (escaping) yapılmadan ekliyor. Bu nedenle parametre sayfada olduğu gibi görüntüleniyor. Etkilenen sürümler, REDAXO core paketinin 5.21.0 öncesi tüm sürümleridir.

Saldırgan ne yapabilir?

Saldırgan, kimliği doğrulanmış bir arka yüz kullanıcısını hazırlanmış bir bağlantıya yönlendirerek, geçerli bir CSRF belirteci içeren JavaScript kodunu çalıştırabilir. Bu kod aynı kaynak üzerinde işlemler yapabilir veya DOM verilerini okuyabilir.

Kaynaktaki açıklama (İngilizce)

REDAXO before 5.21.0 contains a reflected cross-site scripting vulnerability in the backend packages API, where the function parameter is concatenated into an error message rendered without HTML escaping. Attackers can lure an authenticated backend user to a crafted link containing a valid CSRF token, executing JavaScript that performs same-origin actions or reads DOM data.

Ne yapmalı?

  1. REDAXO core'u 5.21.0 veya üzeri bir sürüme yükseltin. Üretici
  2. Güncelleme öncesinde yönetici hesaplarının şüpheli bağlantılara tıklamadığından emin olun ve arka yüz oturumlarını kapatmayı değerlendirin. Genel öneri

Ek önlemler

  • Arka yüz kullanıcılarına, yönetim paneline giriş yapmış durumdayken dış kaynaklı bağlantılara tıklamamaları konusunda eğitim verin. Genel öneri
  • Yönetim paneline erişimi IP kısıtlaması veya VPN ile sınırlandırmayı düşünün. Genel öneri
  • Web sunucu günlüklerinde arka yüz paket sayfalarına yönelik alışılmadık uzun veya kodlanmış parametre içeren istekleri izleyin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
redaxo core < 5.21.0 5.21.0
5.21.0 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.