- Son 7 gün
- CWE-266
- CWE-285
CVE-2026-120224
Oray Pugongying X5 Pro API yetkilendirme hatası (run_async_task) üzerinden yetkisiz erişim
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu güvenlik açığı, ağa bağlı bir cihazın yetkisiz kişilerce kontrol edilmesine imkân verebilir ve kritik seviyede risk taşımaktadır. Açığın kullanımına ilişkin açık kaynaklı bir istismar kodu yayımlandığı için saldırıların başlaması olasıdır. Üretici başvurulara yanıt vermediğinden, kurumların hızlı önlem alması gerekmektedir.
ÖzetTürkçe
Oray Pugongying X5 Pro cihazının 7.6.1 sürümüne kadar olan sürümlerinde, API yetkilendirme bileşeninin run_apis_by_json / run_async_task fonksiyonunda yetkilendirme eksikliği bulunmaktadır. Hata, uzaktan ve kimlik doğrulaması gerektirmeyen bir yöntemle, yetkisiz kullanıcıların korumalı işlemleri tetiklemesine olanak tanımaktadır. Etkilenen sürümler verilerde 7.6.0 ve 7.6.1 olarak listelenmiştir. Açık için halka açık bir istismar kodu yayımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, yetkisi olmadan cihaz üzerinde yönetimsel veya asenkron görevleri çalıştırabilir; bu da cihazın ele geçirilmesine, yapılandırmanın değiştirilmesine veya servisin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A security flaw has been discovered in Oray Pugongying X5 Pro up to 7.6.1. Affected is the function run_apis_by_json/run_async_task of the component API Authorization. The manipulation results in improper authorization. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Bu sürüm için üretici tarafından bildirilmiş bir düzeltme bulunmamaktadır; üreticinin güncelleme yayımlayıp yayımlamadığını resmi kanallardan takip edin. Genel öneri
- Cihazın API arayüzüne erişimi yalnızca güvenilir iç ağ adreslerine kısıtlayın ve internetten gelen erişimi güvenlik duvarında engelleyin. Genel öneri
- Cihazın yönetim ve API arayüzlerini mümkünse kullanmadığınız sürece devre dışı bırakın. Genel öneri
- Cihazın üzerinde beklenmeyen yapılandırma değişikliklerini, yeni hesapları ve olağandışı asenkron görevleri inceleyin; şüpheli bir bulgu varsa cihazı ağdan ayırıp ele geçirilme ihtimalini değerlendirin. Genel öneri
Ek önlemler
- Cihazı internete doğrudan açmayın; uzaktan erişimi VPN gibi kimlik doğrulamalı bir kanal arkasına alın. Genel öneri
- Cihaz günlüklerini ve ağ trafiğini API uç noktalarına yönelik sıra dışı isteklere karşı izleyin. Genel öneri
- Üretici desteğinin yanıt vermediği durumlarda, cihazın alternatif bir çözümle değiştirilmesini planlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oray Pugongying X5 Pro | 7.6.0 | – |
| 7.6.1 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-120224 Üçüncü taraf
- vuldb.com/submit/1007541 Üçüncü taraf
- vuldb.com/submit/1007542 Üçüncü taraf
- app.notion.com/…JSON-Batch-AP-3eb797159f1580febfd2f0e1ee239352 İstismar kodu ya da analiz
- vuldb.com/vuln/429583 Diğer
- vuldb.com/vuln/429583/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.