- Yama var
- Son 7 gün
- CWE-862
CVE-2026-120429
Camaleon CMS'te Admin::MediaController yetkilendirme eksikliği
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen düşük yetkili bir kullanıcının içerik yönetimi sisteminin dosya ve medya bölümlerine erişmesine izin verebilir. Özel dosyaların sızması ve diğer kullanıcıların hesap görünümlerinin değiştirilmesi iş güvenilirliğini etkileyebilir. Yamanın hızlı uygulanması önerilir.
ÖzetTürkçe
Camaleon CMS'in 2.9.2 sürümünden önceki sürümlerinde, Admin::MediaController bileşeninde yetkilendirme kontrolü eksiktir. Rol tabanlı Medya izinlerini bypass eden, düşük yetkili kimliği doğrulanmış kullanıcılar bu açığı kullanabilir. Etkilenen sistemler, Camaleon CMS'in 2.9.2 öncesi sürümlerini çalıştıran sitelerdir.
Saldırgan ne yapabilir?
Saldırgan dosya yükleyebilir, özel medya dosyalarını okuyabilir ve diğer kullanıcıların avatarlarını değiştirebilir. Açıklamada veritabanı değişikliği veya kod çalıştırma belirtilmemiştir.
Kaynaktaki açıklama (İngilizce)
Camaleon CMS before 2.9.2 contains a missing authorization vulnerability in Admin::MediaController that allows low-privileged authenticated users to bypass the role-based Media permission. Attackers can POST to /admin/media/upload to store files, read private media via download_private_file, and use crop with saved_avatar to change other users' avatars.
Ne yapmalı?
- Camaleon CMS'i 2.9.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde, düşük yetkili kullanıcı hesaplarını gözden geçirin ve gereksiz hesapları devre dışı bırakın. Genel öneri
- Güncelleme tamamlanana kadar medya yükleme ve özel dosya indirme işlevlerine erişimi yönetici hesaplarıyla sınırlandırın. Genel öneri
Ek önlemler
- Yüklenen dosyaları ve medya kayıtlarını beklenmedik yüklemeler açısından inceleyin. Genel öneri
- Kullanıcı avatarlarında beklenmedik değişiklikler olup olmadığını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| owen2345 camaleon-cms | < 2.9.2 | 2.9.2 |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/owen2345/camaleon-cms/pull/1147 Yama
- github.com/…ommit/7fe4fa0bf99256dfe32b5f674baf4f771606549e Yama
- vulncheck.com/…issing-authorization-via-admin-mediacontroller Üçüncü taraf
- github.com/…rollers/camaleon_cms/admin/media_controller.rb Diğer
- github.com/owen2345/camaleon-cms/releases/tag/2.9.2 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.