- Yama var
- Son 7 gün
- CWE-639
CVE-2026-120333
TYPO3 sf_register eklentisinde yetkisiz kullanıcı hesabı silme ve bilgi ifşası
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- TYPO3
Yönetici özeti
Bu açık, sitenizdeki kullanıcı hesaplarının kişisel bilgilerinin sızmasına ve hesapların izinsiz silinmesine yol açabilir. Saldırı için herhangi bir oturum açma bilgisi gerekmediğinden risk yüksektir ve etkilenen sitelerde hızlı işlem gerektirir.
ÖzetTürkçe
TYPO3 için geliştirilen "Frontend User Registration" (sf_register) eklentisinde, e-postalardaki kayıt onayı ve hesap silme gibi bağlantılar geçerli bir hash olmadan da kabul ediliyor. Bu nedenle sistem, isteğin içindeki ön yüz kullanıcısını doğrulamadan işleme alıyor. Bu eklentiyi kullanan TYPO3 siteleri etkilenmektedir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapılmamış bir saldırgan, aktif durumdaki herhangi bir ön yüz kullanıcısının e-posta adresini ve kullanıcı adını öğrenebilir ve keyfi kullanıcı hesaplarını silebilir.
Kaynaktaki açıklama (İngilizce)
The actions linked in the emails of the extension (e.g. to confirm a registration or the deletion of an account) do not reject requests with a missing or invalid hash. Instead, the frontend user given in the request is used. Unauthenticated attackers can therefore perform these actions for arbitrary active frontend users. This allows them to retrieve the email address or username of all frontend users and to delete arbitrary frontend user accounts.
Ne yapmalı?
- Yükseltme yapamıyorsanız, kayıt onayı ve hesap silme bağlantılarının işlenmesini geçici olarak devre dışı bırakın veya bu eklentinin kullanımını durdurun. Genel öneri
- Güncelleme sonrası, kullanıcı hesaplarında beklenmeyen silme veya değişiklik olup olmadığını erişim kayıtlarından kontrol edin. Genel öneri
Ek önlemler
- Ön yüz kullanıcı kayıt ve hesap silme işlemlerini izleyin; kısa sürede çok sayıda istek gelmesi şüpheli bir işaret olabilir. Genel öneri
- Güncelleme sonrasında veritabanı ve sistem yedeklerinizin güncel olduğundan emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| TYPO3 Extension "Frontend User Registration" | ≥ 14.0.0, < 14.0.3 | 14.0.3 |
| < 13.2.5 | 13.2.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- typo3.org/security/advisory/typo3-ext-sa-2026-038 Üretici bülteni
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.