- Yama var
- Son 7 gün
- CWE-862
CVE-2026-120330
TYPO3 "Mail" eklentisinde yetkisiz erişim (kırık erişim kontrolü)
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- TYPO3
Yönetici özeti
Bu açık, sitenin e-posta gönderim araçlarında bulunan bir yetki kontrolü hatasıdır. Düşük yetkili bir çalışan veya hesap, şirketin diğer bölümlerine ait müşteri listelerine ve kişisel bilgilere erişebilir. Hem veri gizliliği hem de yasal yükümlülükler açısından önceliklendirilmesi gereken bir risktir.
ÖzetTürkçe
TYPO3 "Mail" eklentisinin posta modülüne ait arka uç işlemleri ve ajax rotaları, oturum açmış yönetici kullanıcının istenen posta veya alıcı grubunun sayfasına erişim yetkisi olup olmadığını kontrol etmiyor. Bu durum, 4.0.0 ile 4.2.0 öncesi sürümleri ve 3.12.5 öncesi sürümleri etkiliyor. Posta modülüne erişimi olan arka uç kullanıcıları, kendi web bağlarının dışındaki postaları ve alıcı gruplarını görebilir.
Saldırgan ne yapabilir?
Saldırgan, düşük yetkili bir arka uç kullanıcısı olarak yetkisi dışındaki postaları ve alıcı gruplarını görüntüleyebilir, değiştirebilir, gönderebilir ve dışa aktarabilir. Bu işlemler sırasında alıcıların kişisel verileri de açığa çıkabilir.
Kaynaktaki açıklama (İngilizce)
Backend actions and ajax routes of the mail module do not check whether the backend user has access to the page of the requested mail or recipient group. Backend users with access to the mail module can view, change, send and export mails and recipient groups outside their web mounts, including the personal data of recipients.
Ne yapmalı?
- Eklentiyi, satıcının belirttiği düzeltilmiş sürümlere yükseltin: 4.x dallarında 4.2.0 veya üzeri, 3.x dallarında 3.12.5 veya üzeri. Üretici
- Yükseltme sonrasında posta modülüne erişimi olan kullanıcıların web bağlarının doğru tanımlandığını ve gereksiz yetkilerin kaldırıldığını gözden geçirin. Genel öneri
Ek önlemler
- Posta modülüne erişimi olan arka uç kullanıcılarının sayısını ve yetki kapsamını sınırlayın. Genel öneri
- Yükseltmeden önce ve sonra posta ve alıcı grubu kayıtlarına yapılan olağandışı erişim ve dışa aktarma işlemlerini kayıt dosyalarından izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| TYPO3 Extension "Mail" | ≥ 4.0.0, < 4.2.0 | 4.2.0 |
| < 3.12.5 | 3.12.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- typo3.org/security/advisory/typo3-ext-sa-2026-037 Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.