- Son 7 gün
- CWE-287
- CWE-306
CVE-2026-121926
yezhihao jt808-server Web Yönetim API'sinde kimlik doğrulama eksikliği
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, sisteme yetkisiz kişilerin uzaktan girmesine ve yönetim işlemleri yapmasına olanak tanıyabilir. Kamuya açık bir istismar kodu bulunduğu ve üretici yanıt vermediği için risk yüksektir ve acil önlem gerektirmektedir.
ÖzetTürkçe
yezhihao jt808-server ürününde, Web Yönetim API'si bileşenindeki WebMvcConfig.addInterceptors fonksiyonu, yönetim isteklerine kimlik doğrulama uygulamadığı için zafiyet içermektedir. Zafiyet, a07f68c466b560b97ef41edb8a4966469abdf83e sürümüne kadar olan sürümleri etkilemektedir. Ürün sürekli dağıtım modeliyle geliştirildiğinden etkilenen ve düzeltilmiş sürüm bilgisi bulunmamaktadır. Saldırı uzaktan gerçekleştirilebilir ve kamuya açık bir istismar kodu mevcuttur.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, yönetim arayüzüne erişerek sunucu ayarlarını görüntüleyebilir ve değiştirebilir, bağlı cihaz ve kullanıcılara ait verilere ulaşabilir. Gizlilik, bütünlük ve erişilebilirlik üzerinde sınırlı ama önemli etkiler oluşturabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was detected in yezhihao jt808-server up to a07f68c466b560b97ef41edb8a4966469abdf83e. Affected is the function WebMvcConfig.addInterceptors of the component Web Management API. The manipulation results in missing authentication. The attack may be launched remotely. The exploit is now public and may be used. This product operates on a rolling release basis, ensuring continuous delivery. Consequently, there are no version details for either affected or updated releases. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üreticiden bilinen bir düzeltme veya yama bulunmadığı için, sunucunun Web Yönetim API'sinin internete doğrudan açık olup olmadığını hemen kontrol edin. Genel öneri
- Yönetim API'sine yalnızca güvenilir iç ağlardan veya VPN üzerinden erişilebilecek şekilde ağ erişimini kısıtlayın. Genel öneri
- Yönetim arayüzüne erişimi, ağ geçidi, ters vekil sunucu veya ek bir kimlik doğrulama katmanı üzerinden zorunlu hale getirin. Genel öneri
- Sistemde yetkisiz erişim izleri olup olmadığını erişim kayıtlarından inceleyin ve şüpheli bir durum varsa parolaları ve erişim anahtarlarını değiştirin. Genel öneri
Ek önlemler
- Üretici yama yayınlayana kadar sunucuyu genel internete açmayın ve yönetim portlarını güvenlik duvarı ile sınırlandırın. Genel öneri
- Yönetim API'sine yapılan isteklerin kaynak IP adreslerini ve sıklığını düzenli olarak izleyin ve anormal istekleri uyarı olarak değerlendirin. Genel öneri
- Açığın kapatıldığını doğrulamak için ürünün yeni sürümlerini ve güvenlik duyurularını düzenli olarak takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yezhihao jt808-server | a07f68c466b560b97ef41edb8a4966469abdf83e | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-121926 Üçüncü taraf
- vuldb.com/submit/1023350 Üçüncü taraf
- gist.github.com/janceye26-svg/eddbfcd42bbd90613dddcb7965408bf9 İstismar kodu ya da analiz
- vuldb.com/vuln/431035 Diğer
- vuldb.com/vuln/431035/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.