- Son 7 gün
- CWE-306
CVE-2026-121555
Foxel 2.4.0 ve öncesinde kimlik doğrulama gerektirmeyen dosya okuma açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, giriş yapmadan internet üzerinden sunucudaki dosyaların okunmasına izin verebilir ve veri sızıntısı riski taşır. Etkilenen Foxel kurulumları, dosya depolama hizmetinizin güvenliğini ve gizli bilgilerinizi doğrudan tehlikeye atabilir. Bu nedenle öncelikli olarak güncelleme yapılması önerilir.
ÖzetTürkçe
Foxel'in 2.4.0 ve daha eski sürümlerinde, /api/fs/stream ve /api/fs/thumb uç noktalarında kimlik doğrulama kontrolü eksiktir. Saldırgan bir VFS bağlama öneki ile göreli yol belirterek sunucudaki dosyaların tam içeriğine veya küçük resimlerine erişebilir. Bu durum, PathRule ile verilen izin kurallarının da atlanmasına yol açar. Açıktan Foxel kurulumu olan tüm sistemler etkilenir.
Saldırgan ne yapabilir?
Kimlik doğrulaması yapmayan bir saldırgan, tüm bağlamalar genelinde dosyaların içeriğini okuyabilir. Yapılandırma dosyaları veya kullanıcı verileri gibi hassas bilgilere erişim sağlanabilir.
Kaynaktaki açıklama (İngilizce)
Foxel through 2.4.0 contains a missing authentication vulnerability that allows unauthenticated attackers to read files by requesting the /api/fs/stream and /api/fs/thumb endpoints. Attackers can supply a VFS mount prefix and relative path to retrieve full file contents or thumbnails across all mounts, bypassing PathRule permission grants.
Ne yapmalı?
- Foxel'i 2.4.0 sürümünden daha yeni, düzeltilmiş bir sürüme güncelleyin. Kesin sürüm numarası veri kaynağında belirtilmemiştir; üreticinin yayınladığı son kararlı sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar /api/fs/stream ve /api/fs/thumb uç noktalarına dış ağdan erişimi ters vekil sunucu veya güvenlik duvarı kuralları ile engelleyin. Genel öneri
- Sunucudaki erişim günlüklerini bu iki uç noktaya yönelik kimlik doğrulamasız isteklere karşı inceleyin. Genel öneri
Ek önlemler
- Yönetim ve dosya erişim arayüzlerini mümkün olduğunca internete doğrudan açmayın; VPN veya kimlik doğrulamalı vekil katmanı kullanın. Genel öneri
- Hassas dosyaların yalnızca gerekli uygulama hesaplarının okuyabileceği şekilde izinlerini kısıtlayın. Genel öneri
- Güncelleme sonrasında aynı uç noktalara kimlik doğrulamasız istek gönderilerek açığın kapandığını doğrulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| DrizzleTime Foxel | ≤ 2.4.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/73d9fa825e1004d37abb7b10faea0cd7f5bcb463 Yama
- github.com/DrizzleTime/Foxel/issues/152 Üçüncü taraf
- vulncheck.com/…d-file-read-via-api-fs-stream-and-api-fs-thumb Üçüncü taraf
- github.com/DrizzleTime/Foxel Diğer
- github.com/…ime/Foxel/blob/v2.4.0/domain/virtual_fs/api.py Diğer
- github.com/DrizzleTime/Foxel/blob/v2.4.0/api/routers.py Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.