- Yama var
- Son 7 gün
- CWE-22
CVE-2026-119145
Frappe'de dosya yüklemede yol geçişi, uzaktan kod çalıştırmaya yol açıyor
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen bir kullanıcının sunucunun tamamını ele geçirmesine olanak tanıyabilir. İşletmeniz için yüksek iş riski ve acil müdahale gerektiren bir durum söz konusudur. Güncelleme yapılana kadar etkilenen sistemleri ayrıcalıklı ve öncelikli olarak ele alın.
ÖzetTürkçe
Frappe'nin 15.121.0 öncesi sürümlerinde ve 16.34.0 öncesi 16.x sürümlerinde, bazı dosya yükleme işlemleri hedef yolu yazmadan önce doğrulamıyor. Bu nedenle yol geçişi (path traversal) açığı oluşuyor. Açık, kimliği doğrulanmış kullanıcıların etkilediği sürümleri kullanan tüm kurulumları ilgilendiriyor.
Saldırgan ne yapabilir?
Kimliği doğrulanmış bir saldırgan, hazırlanmış dosyaları depolama dizininin dışındaki konumlara yükleyerek sunucuda uzaktan kod çalıştırabilir. Bu, sunucunun tam kontrolünü ve veri değiştirme ya da sızdırma imkanını doğurabilir.
Kaynaktaki açıklama (İngilizce)
Frappe before 15.121.0 and 16.x before 16.34.0 contains a path traversal vulnerability because certain file-upload handling does not validate the destination path before writing to disk. Authenticated attackers can upload crafted files to locations outside the intended storage directory to achieve remote code execution on the server.
Ne yapmalı?
- Frappe'yi 15.x dalında 15.121.0 veya üzeri, 16.x dalında 16.34.0 veya üzeri bir sürüme yükseltin. Üretici
- Güncelleme sonrasında sunucuda beklenmeyen dosyalar olup olmadığını, özellikle depolama dizini dışında oluşturulmuş dosyaları kontrol edin. Genel öneri
- Güncelleme yapamıyorsanız, dosya yükleme özelliğini geçici olarak kısıtlayın ve yalnızca güvenilir kullanıcıların yükleme yapabilmesini sağlayın. Genel öneri
Ek önlemler
- Yükleme yapan hesapların yetkilerini en aza indirin ve kullanılmayan hesapları kapatın. Genel öneri
- Uygulama sunucusunda dosya yazma işlemlerini izleyin ve depolama dizini dışındaki beklenmeyen yazmaları uyarı olarak değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| frappe | ≥ 16.0.0, < 16.34.0 | 16.34.0 |
| 16.34.0 Etkilenmiyor | – | |
| < 15.121.0 | 15.121.0 | |
| 15.121.0 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.