- Son 7 gün
- CWE-306
CVE-2026-120446
madong-admin-saas platform kiracı yönetimi API'sinde kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yazılımın müşteri hesaplarını yöneten kısmına herkesin giriş yapmadan erişebilmesine izin vermektedir. Saldırganlar müşteri hesaplarını silebilir, kapatabilir veya değiştirebilir; bu da hizmet kesintisine ve itibar kaybına yol açabilir. Risk yüksektir ve etkilenen sistemlerde derhal işlem yapılması gerekir.
ÖzetTürkçe
madong-admin-saas 5.1.4 ve önceki sürümlerinde, platform kiracı (tenant) yönetim API'sindeki 'platformapi' ara katman anahtarının 'platform' uygulamasıyla eşleşmemesi nedeniyle kimlik doğrulama uygulanmamaktadır. Bu durum, uzaktan ve kimlik bilgisi olmayan saldırganların doğrudan API uç noktalarına erişmesine olanak tanır. Etkilenen sistemler, bu yazılımı kullanan çok kiracılı SaaS platformlarıdır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan kiracıları listeleyebilir, oluşturabilir, değiştirebilir, devre dışı bırakabilir veya silebilir ve abonelik planlarını kiracılara atayabilir. Bu, veri bütünlüğü ve erişilebilirlik üzerinde ciddi etki yaratır.
Kaynaktaki açıklama (İngilizce)
madong-admin-saas through 5.1.4 contains a missing authentication vulnerability in the platform tenant management API because the 'platformapi' middleware key never matches the 'platform' application. Unauthenticated remote attackers can call /platformapi/tenant/account, bind-plan and sync-data endpoints to list, create, modify, disable or delete tenants and bind subscription plans.
Ne yapmalı?
- Üretici tarafından belirtilen düzeltilmiş sürüme güncelleme bilgisi bu kayıtta bulunmamaktadır; yazılımın resmi kaynaklarından en güncel sürümü kontrol edin ve mevcut bir düzeltme varsa hemen uygulayın. Genel öneri
- Düzeltme yayımlanana kadar platform kiracı yönetimi API uç noktalarına (/platformapi/ ile başlayan yollar) ağ düzeyinde erişimi yalnızca yönetici IP adresleriyle sınırlayın. Genel öneri
- Sistemi, kiracı hesaplarında beklenmeyen oluşturma, silme, devre dışı bırakma veya plan değişikliği olup olmadığını denetleyin. Genel öneri
Ek önlemler
- Yönetim API'lerini genel internetten izole edin ve bir VPN ya da bastion host arkasında tutun. Genel öneri
- Kiracı ve abonelik değişikliklerini kayıt altına alın ve anormal işlemler için uyarı kuralları tanımlayın. Genel öneri
- Ara katman ve kimlik doğrulama yapılandırmalarının her uygulama ortamında doğru eşleştiğini dağıtım öncesinde test edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| madong-code madong-admin-saas | ≤ 5.1.4 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/2a199a1523ed749c94b876bc2ae5fedf252b2e39 Yama
- github.com/madong-code/madong-admin-saas/issues/2 Üçüncü taraf
- vulncheck.com/…hentication-via-platform-tenant-management-api Üçüncü taraf
- github.com/…atform/controller/tenant/AccountController.php Diğer
- github.com/…g-admin-saas/blob/v5.1.4/config/middleware.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.