Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-23

CVE-2026-120311

Network-AI FileJobStore iş kimliğinde yol geçişi (path traversal) açığı

Jovancoding Network-AI

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, yetkilendirme sistemini ve gizli kimlik bilgilerini doğrudan hedef alabilir. Yüksek ciddiyetli olduğundan ve kimlik doğrulaması gerektirmeyen bir saldırı yüzeyi bulunmadığından, etkilenen sistemlerin hızla güncellenmesi gerekir.

ÖzetTürkçe

Network-AI'nin 5.13.4 ile 5.15.5 öncesi sürümlerinde, FileJobStore bileşeni iş kimliğini (job id) doğrulamadan dosya yoluna eklemektedir. Bu nedenle kimliğe dizin geçiş dizileri eklenerek sistemdeki rastgele .json dosyalarına erişilebilir veya bu dosyalar silinebilir. Etkilenen kullanıcılar, kimliği kontrol edebilen herhangi bir girdi kaynağına sahip Network-AI kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, kimlik bilgilerini ve erişim belirteçlerini (grant tokens) okuyabilir, yapılandırma dosyalarını silebilir ve AuthGuardian yetkilendirmesini zayıflatabilir.

Kaynaktaki açıklama (İngilizce)

Network-AI from 5.13.4 before 5.15.5 contains a path traversal vulnerability in FileJobStore that allows attackers to read or delete arbitrary .json files by supplying traversal sequences in the job id. Attackers controlling the id passed to FileJobStore.get(), FileJobStore.delete(), or JobQueue.getJob() can disclose credentials and grant tokens or delete configuration files to weaken AuthGuardian authorization.

Ne yapmalı?

  1. Network-AI'yi 5.15.5 veya sonrası bir sürüme güncelleyin. Üretici
  2. Güncelleme sonrasında, iş kimliklerini kontrol eden tüm girdi noktalarının beklenmedik dizin geçiş karakterleri içermediğini doğrulayın. Genel öneri
  3. Güncelleme öncesinde, kimlik bilgilerini ve erişim belirteçlerini yenileyin ve yetkilendirme yapılandırma dosyalarında yetkisiz değişiklik olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • Uygulamanın iş kimliklerini yalnızca beklenen biçimde (örneğin sabit uzunluk ve izin verilen karakterler) kabul edecek şekilde doğrulayın. Genel öneri
  • Yapılandırma ve kimlik bilgisi dosyalarını, uygulama sürecinin yalnızca gerekli dizinlere erişebileceği şekilde kısıtlayın. Genel öneri
  • Yapılandırma dosyalarındaki beklenmedik silme ve okuma işlemleri için dosya sistemi günlüklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Jovancoding Network-AI ≥ 5.13.4, < 5.15.5 5.15.5
5.15.5 Etkilenmiyor –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.