- Son 7 gün
- CWE-943
CVE-2026-120201
Jpom'da JPOM-USER-TOKEN başlığı üzerinden kimlik doğrulamasının atlatılması
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sunucu yönetim panelinin tamamen ele geçirilmesine yol açabilir ve kimlik doğrulaması gerektirmez. Etkilenen sistemlerin kritik düzeyde risk altında olduğu değerlendirilmektedir. Bu nedenle en kısa sürede güncelleme yapılması gerekir.
ÖzetTürkçe
Jpom 2.10.0 ile 2.11.12 arasındaki sürümlerde, JPOM-USER-TOKEN başlığına enjekte edilen sorgu koşulları nedeniyle kimlik doğrulama atlatılabiliyor. Hutool'un Condition ayrıştırıcısı, 'is not null' gibi bir değeri operatör olarak yorumluyor. Bu durum, etkilenen Jpom kurulumlarını hedef alır.
Saldırgan ne yapabilir?
Kimlik doğrulaması olmayan bir saldırgan, süper yönetici yetkisi elde edebilir. Ardından Jpom'un betik özellikleri üzerinden sistemde komut çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
Jpom 2.10.0 through 2.11.12 contains an authentication bypass vulnerability that allows unauthenticated attackers to gain super-administrator access by injecting query conditions into the JPOM-USER-TOKEN header. Attackers can send a value like 'is not null', which Hutool's Condition parser treats as an operator, then execute commands through Jpom's script features.
Ne yapmalı?
- Jpom'u, bu açığın giderildiği sürüme yükseltin. Satıcının belirttiği düzeltilmiş sürüm bilgisi kullanılamıyorsa, resmi Jpom kanallarından güncel sürümü kontrol edin. Genel öneri
- Güncelleme yapılamıyorsa, Jpom yönetim arayüzüne erişimi yalnızca güvenilir ağ adresleriyle sınırlandırın ve internete doğrudan açık olmasını engelleyin. Genel öneri
- Güncelleme sonrasına kadar, süper yönetici hesaplarının kullanım kayıtlarını ve beklenmeyen betik çalıştırma izlerini inceleyin. Genel öneri
Ek önlemler
- Jpom yönetim panelini doğrudan internete açmak yerine VPN veya ters vekil arkasında çalıştırın. Genel öneri
- Şüpheli HTTP istekleri için, özellikle JPOM-USER-TOKEN başlığında beklenmeyen operatör ifadeleri içeren istekler için günlük kayıtlarını izleyin. Genel öneri
- Yönetici hesaplarını ayrı tutun, gereksiz süper yönetici hesaplarını kaldırın ve betik yürütme yetkisini yalnızca gerekli kişilerle sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dromara Jpom | ≥ 2.10.0, ≤ 2.11.12 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.