- Son 7 gün
- CWE-862
CVE-2026-119707
SonicJS içerik yazma API'sinde eksik yetkilendirme açığı
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapmış düşük yetkili bir kullanıcının diğer kullanıcıların içeriklerini değiştirmesine veya silmesine izin verebilir. Bu, içerik bütünlüğü ve yönetim kontrolü açısından iş riski oluşturur. Kullanılan sürüm için güncelleme veya geçici önlem planlanmalı ve kısa sürede uygulanmalıdır.
ÖzetTürkçe
SonicJS 3.0.0 ve öncesi sürümlerde /api/:collection ve /api/content yazma uç noktaları yalnızca kaba rol etiketlerini kontrol ediyor. Bu nedenle yetkili yazar veya editör rolündeki kullanıcılar, belge bazlı erişim kurallarını ve yönetici engellemelerini aşarak başkalarının belgelerini oluşturabiliyor, değiştirebiliyor, yayımlayabiliyor veya yumuşak silebiliyor. Etkilenen sistemler, bu API'yi kullanan SonicJS kurulumlarıdır.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmış kötü niyetli bir kullanıcı, başkalarının içeriklerini değiştirebilir, yayımlayabilir veya silebilir; yönetici tarafından konulan erişim kısıtlamaları da bu saldırıyla aşılabilir.
Kaynaktaki açıklama (İngilizce)
SonicJS through 3.0.0 contains a missing authorization vulnerability in the /api/:collection and /api/content write routes that only check coarse role labels. Authenticated authors or editors can use a bearer JWT or API key to create, modify, publish, or soft-delete other users' documents, bypassing document ACLs and administrator deny overrides.
Ne yapmalı?
- Üretici tarafından belirtilen düzeltilmiş bir sürüm bu kaynakta açıkça verilmediği için, SonicJS kurulumunuzu sağlayıcının yayımladığı en son sürüme güncelleyin ve sürüm notlarını kontrol edin. Genel öneri
- Yazar ve editör rolüne sahip hesapları gözden geçirin, gereksiz yazma yetkisi olan kullanıcıları devre dışı bırakın veya yetkilerini düşürün. Genel öneri
- Yazma API'sine erişimi yalnızca güvenilen kaynaklarla sınırlandırın ve kullanılmayan API anahtarlarını ve JWT oturumlarını iptal edin. Genel öneri
- Güncelleme uygulanana kadar içerik değişikliklerini ve yayımlama işlemlerini kayıt altına alın ve olağandışı değişiklikleri düzenli olarak inceleyin. Genel öneri
Ek önlemler
- Kritik içerikler için düzenli yedek alın, böylece silme veya değiştirme durumunda hızlı geri dönüş yapılabilsin. Genel öneri
- API anahtarlarını düzenli olarak döndürün ve en az yetki ilkesiyle dağıtın. Genel öneri
- Yazma isteklerini yapan kullanıcı ve belge kimliklerini içeren günlükleri izleyerek yetkisiz değişiklikleri tespit edin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| SonicJs-Org sonicjs | ≤ 3.0.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/SonicJs-Org/sonicjs/pull/1147 Yama
- github.com/SonicJs-Org/sonicjs/issues/1125 Üçüncü taraf
- hackmd.io/…Penguinnn/sonicjs-content-api-write-acl-bypass Üçüncü taraf
- vulncheck.com/…0.0-missing-authorization-in-content-write-api Üçüncü taraf
- github.com/SonicJs-Org/sonicjs Diğer
- github.com/…js/blob/v3.0.0/packages/core/src/routes/api.ts Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.