- Son 7 gün
- CWE-639
CVE-2026-117563
MrDoc'ta manage_doc_share üzerinden yetkilendirme eksikliği (kırık erişim kontrolü)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kayıtlı bir kullanıcının diğer kullanıcıların özel belgelerini açığa çıkarmasına olanak tanıyabilir. Belgelerinizde gizli bilgi tutuyorsanız risk orta düzeydedir ve kısa sürede giderilmesi önerilir.
ÖzetTürkçe
MrDoc belge paylaşım yönetim işlevinde (manage_doc_share, tip 3 dalı) güncelleme işlemleri sahiplik kontrolü yapmadığı için kimliği doğrulanmış kullanıcılar başkalarının belge paylaşım ayarlarını değiştirebilmektedir. Paylaşım belirteçleri belge kimliği ile kullanıcı adının MD5 özetinden türetildiği için tahmin edilebilir durumdadır. Etkilenen sürüm: 1.1.1 ve öncesi.
Saldırgan ne yapabilir?
Saldırgan, kapatılmış paylaşımları yeniden açabilir veya erişim kodlarını kaldırarak özel belgelere yetkisiz erişim sağlayabilir.
Kaynaktaki açıklama (İngilizce)
MrDoc through 1.1.1 contains a broken access control vulnerability in the manage_doc_share type 3 branch that allows authenticated users to modify other users' document share settings because updates lack an ownership check. Attackers can compute predictable share tokens from the MD5 of document ID and username to re-enable disabled shares or remove access codes, exposing private documents.
Ne yapmalı?
- Kaynak sağlayıcının (vendor) yayımladığı düzeltilmiş bir sürüm bulunmadığı için MrDoc'un en güncel sürümünü takip edin ve sürüm yayımlandığında hemen güncelleyin. Genel öneri
- Kesin bir düzeltme yayımlanana kadar MrDoc örneğine yalnızca güvenilir kullanıcıların erişmesine izin verin ve yeni kullanıcı kayıtlarını kısıtlayın. Genel öneri
- Hassas belgelerin paylaşım ayarlarını gözden geçirin, gereksiz paylaşımları kapatın ve kullanılan erişim kodlarını yenileyin. Genel öneri
- Belge paylaşım ayarlarında beklenmeyen değişiklik olup olmadığını uygulama kayıtlarından kontrol edin. Genel öneri
Ek önlemler
- MrDoc uygulamasını internete açık sunucularda çalıştırıyorsanız erişimi ağ düzeyinde kısıtlamayı değerlendirin. Genel öneri
- Belge paylaşım değişikliklerini izleyin ve olağan dışı etkinlikler için uyarı üretin. Genel öneri
- Kullanıcılara en az yetki ilkesini uygulayın ve kullanılmayan hesapları devre dışı bırakın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| zmister2016 MrDoc | ≤ 1.1.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/2cd13ff0659dbef9aea59d5af122a21204942262 Yama
- github.com/zmister2016/MrDoc/issues/208 Üçüncü taraf
- vulncheck.com/…1.1-broken-access-control-via-manage-doc-share Üçüncü taraf
- github.com/zmister2016/MrDoc Diğer
- github.com/zmister2016/MrDoc/blob/v1.1.1/app_doc/views.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.