- Son 7 gün
- CWE-285
- CWE-639
CVE-2026-122019
6valley Social Login Flow existingAccountCheck yetkilendirme atlatma açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, müşteri hesaplarına izinsiz erişime yol açabilecek ciddi bir risktir ve kamuya açık bir saldırı kodu bulunduğu için hızlı işlem gerektirir. Etkilenen sistemler, kullanıcı bilgilerinin ve güveninin zarar görmesi, yasal yükümlülükler ve itibar kaybı riskiyle karşı karşıyadır. Yönetim, etkilenen sürümün kullanılıp kullanılmadığını hemen doğrulamalıdır.
ÖzetTürkçe
6amTech 6valley 16.0 sürümünde Social Login Flow bileşenindeki existingAccountCheck fonksiyonu, /api/v1/auth/existing-account-check uç noktasında user_response parametresinin işlenmesi sırasında yetkilendirme denetimini atlatılabilir hale getirmektedir. Sorun, yalnızca belirtilen sürüm (16.0) olarak raporlanmıştır. Saldırı uzaktan gerçekleştirilebilir ve kamuya açık bir istismar kodu bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan, uzaktan ve kimlik doğrulaması yapmadan yetkilendirme kontrolünü aşarak hesap ve kullanıcı verilerine erişebilir; bazı senaryolarda bu verileri değiştirebilir. Etki düzeyi, uygulamanın bu akışta hangi verileri işlediğine bağlıdır.
Kaynaktaki açıklama (İngilizce)
A vulnerability was identified in 6amTech 6valley 16.0. Impacted is the function existingAccountCheck of the file /api/v1/auth/existing-account-check of the component Social Login Flow. Such manipulation of the argument user_response leads to authorization bypass. The attack may be launched remotely. The exploit is publicly available and might be used.
Ne yapmalı?
- Bu kayıtta üretici tarafından yayımlanmış bir düzeltme sürümü veya çözüm bilgisi yer almamaktadır. Üreticinin güvenlik duyurularını ve yama kanallarını düzenli olarak kontrol edin. Genel öneri
- 6valley 16.0 sürümünü kullanan tüm kurulumları envanterinizde belirleyin ve bu sistemleri öncelikli olarak değerlendirin. Genel öneri
- Mümkünse Social Login akışını geçici olarak devre dışı bırakın veya bu özelliğe erişimi güvenilir ağlarla ve yetkili kaynaklarla sınırlandırın. Genel öneri
- Ağ geçidi, ters vekil veya web application firewall üzerinden existing-account-check uç noktasına gelen olağandışı ve tekrarlayan istekleri engelleyin veya izleyin. Genel öneri
- Son dönemdeki giriş, hesap oluşturma ve sosyal giriş kayıtlarını inceleyin; şüpheli oturumları sonlandırın ve etkilenmiş olabilecek hesapların parolalarını yenileyin. Genel öneri
Ek önlemler
- Kimlik doğrulama ve yetkilendirme kararlarını istemci tarafından gönderilen parametrelere dayandırmayın; bu kontrolleri sunucu tarafında yapın. Genel öneri
- Sosyal giriş ve hesap doğrulama uç noktaları için hız sınırlaması ve anormal istek izleme uygulayın. Genel öneri
- Üçüncü taraf eklenti ve modülleri düzenli olarak güncelleyin ve kullanılmayan özellikleri kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| 6amTech 6valley | 16.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-122019 Üçüncü taraf
- vuldb.com/submit/1024992 Üçüncü taraf
- github.com/oscar2744/CVE-Submit/issues/3 İstismar kodu ya da analiz
- vuldb.com/vuln/431085 Diğer
- vuldb.com/vuln/431085/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.