- Yama var
- Son 7 gün
- CWE-352
CVE-2026-121451
AB Download Manager'da CSRF üzerinden keyfi dosya yazma açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kullanıcıların yalnızca zararlı bir web sayfasını ziyaret etmesiyle bilgisayarlarda kalıcı kötü amaçlı yazılım çalıştırılmasına zemin hazırlayabilir. Kullanıcı etkileşimi gerektirdiği için risk orta düzeyde olsa da etki ciddidir. Etkilenen yazılımın güncellenmesi önceliklendirilmelidir.
ÖzetTürkçe
AB Download Manager'ın 1.11.2 öncesi sürümlerinde, tarayıcı entegrasyonu için kullanılan ve kimlik doğrulama gerektirmeyen API'de siteler arası istek sahteciliği (CSRF) açığı bulunmaktadır. Kötü niyetli bir web sayfası, kullanıcının tarayıcısı üzerinden /start-headless-download uç noktasına hazırlanmış klasör ve dosya adı değerleriyle istek gönderebilir. Etkilenen sürümler, uygulamayı kullanan masaüstü kullanıcılarını ve sistemleri kapsamaktadır.
Saldırgan ne yapabilir?
Saldırgan, seçtiği dosyaları sistemde keyfi yollara yazabilir; başlangıç klasörlerine yerleştirilen dosyalar kullanıcı bir sonraki oturum açışında kod çalıştırılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
AB Download Manager before 1.11.2 contains a cross-site request forgery vulnerability in its unauthenticated browser-integration API that allows remote attackers to write attacker-chosen files to arbitrary paths. A malicious web page can send a text/plain request to /start-headless-download with crafted folder and name values, placing payloads in startup folders for code execution on next login.
Ne yapmalı?
- AB Download Manager'ı 1.11.2 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme yapılana kadar uygulamanın tarayıcı entegrasyonunu devre dışı bırakın veya uygulamayı kullanmayı durdurun. Genel öneri
- Başlangıç klasörlerinde bilinmeyen veya yakın zamanda oluşturulmuş dosyaları kontrol edin ve şüpheli olanları kaldırın. Genel öneri
Ek önlemler
- Kullanıcıların güvenilmeyen web sitelerini ziyaret ederken tarayıcı eklentilerini ve yerel uygulama entegrasyonlarını sınırlı tutmasını sağlayın. Genel öneri
- Kullanıcı başlangıç klasörlerindeki yeni dosya oluşturma olaylarını izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| amir1376 ab-download-manager | < 1.11.2 | 1.11.2 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/34cd27af6a9a6c2046af112bc9bd34828fec0bbc Yama
- github.com/amir1376/ab-download-manager/issues/1489 Üçüncü taraf
- vulncheck.com/…ry-file-write-via-start-headless-download-csrf Üçüncü taraf
- github.com/amir1376/ab-download-manager Diğer
- github.com/…com/abdownloadmanager/integration/Endpoints.kt Diğer
- github.com/…r/desktop/integration/IntegrationHandlerImp.kt Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.