- Yama var
- Son 7 gün
- CWE-639
CVE-2026-121945
CoopCycle coopcycle-web uygulamasında kurye olmayan kayıtlara erişim (IDOR) zafiyeti
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kurye hesabı sahibi bir kişinin başka işletmelerin siparişlerini değiştirmesine veya iptal etmesine olanak tanır. Bu durum mali kayıp, müşteri şikayetleri ve itibar zararı riski doğurur. Kullanan işletmelerin sürümü hemen güncellemesi önerilir.
ÖzetTürkçe
CoopCycle coopcycle-web uygulamasının 6.20.1 sürümünden önceki sürümlerinde, olay (incident) kaynağına ve eylemlerine yönelik erişim kontrolü hatalıdır. Olay işlemleri yalnızca ROLE_COURIER rolünü kontrol ettiğinden, herhangi bir kurye tüm olayları okuyabilir ve değiştirebilir. Etkilenen, birden fazla mağazanın sipariş ve görevlerini yöneten platformlardır.
Saldırgan ne yapabilir?
Saldırgan ardışık olay kimliklerini tarayarak başka mağazalara ait siparişlerin fiyatını değiştirebilir, iptal edebilir veya yeniden planlayabilir. Bu da operasyonel bozulmalara ve finansal kayıplara yol açabilir.
Kaynaktaki açıklama (İngilizce)
CoopCycle coopcycle-web before 6.20.1 contains a broken access control vulnerability that allows any courier to read and modify every incident because Incident operations only check ROLE_COURIER. Attackers can enumerate sequential incident ids and use PUT /api/incidents/{id}/action to re-price, cancel or reschedule other stores' orders and tasks.
Ne yapmalı?
- coopcycle-web uygulamasını 6.20.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme sonrasında olay kayıtlarına ve eylem uç noktalarına yetkisiz erişim olup olmadığını uygulama ve erişim günlüklerinden kontrol edin. Genel öneri
- Güncelleme yapılana kadar kurye hesaplarını gözden geçirin ve gereksiz veya şüpheli kurye hesaplarını geçici olarak devre dışı bırakın. Genel öneri
Ek önlemler
- Kurye rollerine tanınan yetkileri en az ayrıcalık ilkesine göre sınırlandırın. Genel öneri
- Sıralı kimlik numaralarının yerine tahmin edilemez kimlikler kullanılmasını ve her nesne için sahiplik kontrolü yapılmasını değerlendirin. Genel öneri
- Olay ve sipariş değişikliklerini izleyin; beklenmeyen fiyat, iptal veya zaman değişikliklerinde uyarı üretin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| coopcycle-web | < 6.20.1 | 6.20.1 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/d997393d128afa1febe34e8f295b9511c12d19a0 Yama
- github.com/coopcycle/coopcycle-web/issues/5390 Üçüncü taraf
- hackmd.io/…d/coopcycle-incident-courier-cross-tenant-bola Üçüncü taraf
- vulncheck.com/…idor-via-incident-resource-and-action-endpoint Üçüncü taraf
- github.com/…/blob/v6.19.1/src/Entity/Incident/Incident.php Diğer
- hackmd.io/…5-coopcycle-incident-courier-cross-tenant-bola Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.