- Son 7 gün
- CWE-321
CVE-2026-120209
AJ-Report 1.7.1 ve öncesi: sabit kodlu JWT sırrı nedeniyle kimlik doğrulama atlatma ve uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sistemin tamamen ele geçirilmesine yol açabilecek kritik bir risk taşıyor ve kimlik doğrulama gerektirmediği için kolayca istismar edilebilir. Kullandığınız raporlama aracını derhal güncellemeniz veya erişimini kısıtlamanız gerekir.
ÖzetTürkçe
AJ-Report, 1.7.1 sürümüne kadar olan sürümlerde paylaşım token'larını sabit kodlanmış bir JWT sırrıyla imzalıyor. Bu nedenle bir saldırgan geçerli paylaşım token'ları çevrim dışı olarak üretebilir. Etkilenen sürümler 1.7.1 ve öncesidir.
Saldırgan ne yapabilir?
Saldırgan, reportCode değeri 'dataSet' olan sahte bir token ile kimlik doğrulaması gerektirmeden testTransform uç noktasına erişebilir ve bu uç noktaya gönderilen betikleri GroovyClassLoader üzerinden çalıştırarak sunucuda uzaktan kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
AJ-Report through 1.7.1 signs share tokens with a hard-coded JWT secret, allowing attackers to forge valid Share-Tokens offline. Attackers can mint a token with reportCode 'dataSet' to access the testTransform endpoint, which passes scripts to GroovyClassLoader for unauthenticated remote code execution.
Ne yapmalı?
- Etkilenen AJ-Report kurulumlarını 1.7.1 sürümünden sonraki düzeltilmiş bir sürüme yükseltin. Satıcının düzeltilmiş sürüm bilgisi veri kaynağında belirtilmemiştir; satıcının resmi duyurularını kontrol edin. Genel öneri
- Düzeltme uygulanana kadar AJ-Report paneline ve testTransform uç noktasına erişimi yalnızca güvenilir iç ağ adreslerine kısıtlayın. Genel öneri
- Paylaşım token'ı özelliğini geçici olarak devre dışı bırakın veya kullanımını durdurun. Genel öneri
- Sunucuda beklenmeyen süreçler, yeni dosyalar ve olağandışı giden bağlantılar için inceleme yapın; şüpheli bir etkinlik varsa sistemi yeniden kurmayı değerlendirin. Genel öneri
Ek önlemler
- Uygulamanın JWT sırrını varsayılan veya kaynak kodda yer alan bir değer olarak bırakmayın; dağıtımda güçlü ve benzersiz bir sır kullanın. Genel öneri
- Uygulama günlüklerini testTransform uç noktasına yönelik istekler ve 'dataSet' reportCode değeri içeren isteklер açısından izleyin. Genel öneri
- Uygulamayı sunucu sürecinin en düşük yetkilerle çalışacağı şekilde yapılandırın ve dışarıya açık servisleri ters vekil veya güvenlik duvarı arkasında tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| anji-plus AJ-Report | ≤ 1.7.1 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.