- Son 7 gün
- CWE-287
CVE-2026-120447
HotGo'da istemci tarafından belirlenen SMS doğrulama kodu ile kimlik doğrulama atlatma
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik doğrulama mekanizmasını baypas ederek saldırganların yönetici dahil kullanıcı hesaplarını ele geçirmesine olanak tanır. Kimlik doğrulamasında kullanılan güvenlik kontrolü devre dışı kalabildiğinden iş verileri ve sistem yönetimi tehlikeye girebilir. Etkilenen kurulumların hızla güncellenmesi veya geçici önlem alınması önemlidir.
ÖzetTürkçe
HotGo'nun 2.8.4 ile 2.15.1 arasındaki sürümlerinde, SMS ile giriş doğrulama kodunu sunucu yerine istemci belirliyor. /admin/sms/send uç noktasına gönderilen Code alanı, doğrulama kodunun saldırgan tarafından seçilmesine izin veriyor. Etkilenen sürümleri kullanan tüm kurulumlar risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, cep telefon numarasını bilen herhangi bir kullanıcının hesabına, yönetici hesapları dahil, kendi seçtiği kodla giriş yapabilir ve hesabı ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
HotGo 2.8.4 through 2.15.1 contains an authentication bypass vulnerability that allows unauthenticated attackers to choose the SMS login verification code by supplying the Code field to /admin/sms/send. Attackers who know a user's mobile number can set a known code and sign in through /admin/site/mobileLogin to take over accounts, including administrators.
Ne yapmalı?
- Üretici tarafından sağlanan düzeltme içeren sürüme yükseltin; etkilenen sürüm aralığı 2.8.4 ile 2.15.1 arasıdır, bu aralığın dışındaki bir sürüme geçmek gerekir. Genel öneri
- Düzeltme uygulanana kadar SMS ile giriş özelliğini devre dışı bırakın veya bu uç noktalara erişimi ağ düzeyinde kısıtlayın. Genel öneri
- Yönetici hesaplarında olağandışı giriş kayıtlarını ve yeni oturumları inceleyin; şüpheli bir durum varsa parolaları ve oturumları sıfırlayın. Genel öneri
Ek önlemler
- Yönetim paneli uç noktalarına yalnızca güvenilir IP adreslerinden erişime izin verin. Genel öneri
- SMS doğrulama kodu isteklerini ve başarısız giriş denemelerini izleyip alarm üretecek şekilde kayıt tutun. Genel öneri
- Yönetici hesapları için SMS yerine ek bir doğrulama faktörü kullanmayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| bufanyun HotGo | ≥ 2.8.4, ≤ 2.15.1 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/cb57056c746650e6ff86dec1e97d404b63dcfd30 Yama
- github.com/bufanyun/hotgo/issues/240 Üçüncü taraf
- vulncheck.com/…on-bypass-via-client-set-sms-verification-code Üçüncü taraf
- vul.yulun.ac.cn/20261102/hotgo İstismar kodu ya da analiz
- github.com/…5f4e02d11/server/internal/logic/sys/sms_log.go Diğer
- github.com/…1/server/internal/model/input/sysin/sms_log.go Diğer
Kayıt geçmişi
- Açıklama güncellendi
- Etkilenen sürüm bilgisi güncellendi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.