- Son 7 gün
- CWE-863
CVE-2026-120445
madong-admin-saas'ta yetkilendirme hatası: kiracı kullanıcıları platform yönetim API'sine erişebiliyor
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen herhangi bir müşteri hesabının, tüm müşterilerin verilerini ve sistemini yönetme yetkisi kazanmasına yol açabilir. Etkisi yüksek olduğu için öncelikli olarak ele alınmalıdır. Yazılım sahipleri ve sistem yöneticileri, sürüm durumunu hemen kontrol etmelidir.
ÖzetTürkçe
madong-admin-saas uygulamasının 5.1.4 ve öncesi sürümlerinde AccessTokenMiddleware bileşeninde yetkilendirme hatası bulunmaktadır. Çok kiracılı (multi-tenant) modda kimliği doğrulanmış kiracı kullanıcıları, kendi giriş JWT'lerini kullanarak platform yönetim API'si (/platformapi) denetleyicilerine erişebilmektedir. Etkilenen sürüm, bu tür bir kurulumu çalıştıran tüm kurumlardır.
Saldırgan ne yapabilir?
Saldırgan, düşük yetkili bir kiracı hesabıyla platform yönetici hesabı oluşturabilir, kiracı veritabanı ayarlarını okuyabilir ve sonuçta tüm kiracıların kontrolünü ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
madong-admin-saas through 5.1.4 contains an incorrect authorization vulnerability in AccessTokenMiddleware that allows authenticated tenant users to access the platform management API in multi-tenant mode. Attackers can reuse a tenant login JWT against /platformapi controllers to create platform administrator accounts, read tenant database settings, and take control of every tenant.
Ne yapmalı?
- Üretici tarafından sağlanmış bir düzeltilmiş sürüm veya çözüm bilgisi bu veride bulunmamaktadır; üreticinin resmi duyurularını ve depo güncellemelerini takip edin ve güncel bir sürüme geçin. Genel öneri
- Platform yönetim API'sine (/platformapi) yalnızca yetkili yönetici ağlarından erişimi kısıtlayın; bu yolu genel erişimden ayırmak için ağ veya ters vekil (reverse proxy) düzeyinde engelleyin. Genel öneri
- Kiracı kullanıcılarının oluşturduğu tüm yeni platform yöneticisi hesaplarını ve yönetici veritabanı ayarlarındaki değişiklikleri denetleyin; şüpheli kayıt bulursanız hesapları devre dışı bırakın. Genel öneri
- Yönetici erişimi için kullanılan tüm kimlik bilgilerini ve JWT anahtarlarını yenileyin, ardından oturumları sonlandırın. Genel öneri
Ek önlemler
- Çok kiracılı kurulumlarda kiracı belirteçlerinin platform rotalarında kabul edilmediğini test ederek doğrulayın. Genel öneri
- Platform yönetim API'si için ayrı bir kimlik doğrulama alanı ve ayrı belirteç kullanın. Genel öneri
- Yönetici hesabı oluşturma ve veritabanı yapılandırma değişikliklerini kayıt altına alın ve uyarı üretecek şekilde izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| madong-code madong-admin-saas | ≤ 5.1.4 | – |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.