- Son 7 gün
- CWE-639
CVE-2026-117562
rssant'ta yayınlanmamış beslemelerin hikâyelerinin yetkisiz okunması (1.9.0–1.9.1)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteminizde özel tutulan içeriklerin giriş yapılmadan başkaları tarafından görülmesine yol açabilir. Kullanıcılarınızın gizli kaynaklarının ifşa olması hem itibar hem de gizlilik açısından risk oluşturur. Sisteminizde bu sürümler kullanılıyorsa öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
rssant 1.9.0 ile 1.9.1 sürümlerinde yetkilendirme atlatma açığı bulunmaktadır. Kimlik doğrulaması yapılmamış saldırganlar, anonim olarak erişilebilen publish.story_get uç noktası üzerinden yayınlanmamış beslemelerdeki hikâyeleri okuyabilmektedir. Yayın kısıtlamasını uygulayan bayrak göz ardı edildiği için besleme kimliklerini ve ofsetlerini deneyerek özel içeriklere ulaşılabilir.
Saldırgan ne yapabilir?
Saldırgan, yayınlanmamış (özel) beslemelerin içeriklerini kimlik doğrulaması olmadan okuyabilir. Bu açıkla veri değiştirme veya sistemi ele geçirme doğrudan mümkün görünmemektedir.
Kaynaktaki açıklama (İngilizce)
rssant 1.9.0 through 1.9.1 contains an authorization bypass vulnerability that allows unauthenticated attackers to read stories from unpublished feeds through the anonymous publish.story_get endpoint. Because UnionStory.get_by_feed_offset ignores the only_publish flag, attackers can enumerate feed IDs and offsets to retrieve private feed stories.
Ne yapmalı?
- Bu kayıtta satıcı tarafından belirtilmiş bir düzeltilmiş sürüm bilgisi bulunmamaktadır. Resmi proje kaynaklarından güncel sürümü kontrol edin ve 1.9.0–1.9.1 dışında bir sürüm yayımlanmışsa ona geçin. Genel öneri
- Bir düzeltme yayımlanana kadar rssant örneğine erişimi ağ düzeyinde kısıtlayın; yalnızca güvenilen kullanıcıların ve ağların erişebilmesini sağlayın. Genel öneri
- Anonim erişime açık yayın uç noktalarının gerekli olup olmadığını değerlendirin; gereksizse kapatın veya erişimi kimlik doğrulamasına bağlayın. Genel öneri
- Uygulama erişim günlüklerini publish uç noktasına yönelik sıra dışı ve art arda gelen istekler açısından inceleyin. Genel öneri
Ek önlemler
- Yayınlanmamış içerik barındıran beslemeler için anonim erişimi kapalı tutun ve bu ayarı düzenli olarak test edin. Genel öneri
- Dışarıya açık servisleri yalnızca ihtiyaç duyulan ağlarla sınırlandırın. Genel öneri
- Güvenlik güncellemelerini takip edin ve yeni sürüm yayımlandığında kısa sürede uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| anyant rssant | ≥ 1.9.0, ≤ 1.9.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/b65336f1414a32a50670ee2ba7e87cb38e0ad47b Yama
- github.com/anyant/rssant/issues/155 Üçüncü taraf
- vulncheck.com/…tion-disclosure-via-publish-story-get-endpoint Üçüncü taraf
- github.com/anyant/rssant Diğer
- github.com/…t/blob/v1.9.1/rssant_api/models/union_story.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.