- Son 7 gün
- CWE-119
CVE-2026-122146
fflate kütüphanesinin unzipSync fonksiyonunda bellek bozulması zafiyeti
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu zafiyet, yaygın kullanılan bir veri sıkıştırma kütüphanesini etkilemektedir ve uzaktan istismar edilebilmektedir. Saldırıya ait kod kamuya açık olduğu için saldırı girişimleri beklenebilir. Satıcının yanıt vermemesi nedeniyle hızlı bir resmi düzeltme garantisi bulunmamaktadır, bu da riski artırmaktadır.
ÖzetTürkçe
fflate kütüphanesinin 0.8.0 ile 0.8.3 arasındaki sürümlerinde, esm/index.mjs dosyasındaki unzipSync fonksiyonunda bellek bozulmasına yol açan bir zafiyet bulunmaktadır. Saldırgan bu zafiyeti uzaktan tetikleyebilir ve istismar kodu kamuya açık hale gelmiştir. Etkilenen sürümleri kullanan Node.js ve JavaScript uygulamaları risk altındadır. Satıcıya zafiyet önceden bildirilmiş ancak yanıt alınamamıştır.
Saldırgan ne yapabilir?
Başarılı bir saldırıda saldırgan, uygulamanın bellek alanındaki verileri okuyabilir veya bellek bozularak uygulamanın çökmesine ya da kontrolünün ele geçirilmesine neden olabilir.
Kaynaktaki açıklama (İngilizce)
A weakness has been identified in 101arrowz fflate up to 0.8.3. This issue affects the function unzipSync of the file esm/index.mjs. This manipulation causes memory corruption. It is possible to initiate the attack remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Satıcıdan resmi bir düzeltme sürümü gelmediği için, kullanılan fflate sürümünün 0.8.0 ile 0.8.3 aralığında olup olmadığını kontrol edin ve bu sürümleri kullanan bileşenleri tespit edin. Genel öneri
- Mümkünse, kütüphanenin bu zafiyetten etkilenmeyen daha yeni bir sürümü olup olmadığını resmi kaynaklardan araştırın ve uygun görülürse projeyi bu sürüme geçirin. Genel öneri
- Düzeltme yapılana kadar, güvenilmeyen kaynaklardan gelen ZIP dosyalarının unzipSync fonksiyonu ile işlenmesini engelleyin veya bu işlemi geçici olarak devre dışı bırakın. Genel öneri
- Sıkıştırılmış veri girdilerinde boyut ve sayı sınırları uygulayarak, aşırı büyük veya bozuk arşivlerin işlenmesini önleyin. Genel öneri
Ek önlemler
- Uygulamanın dış kullanıcılardan aldığı dosyaları işleyen tüm yollarda bu kütüphanenin kullanımını gözden geçirin. Genel öneri
- Uygulama çökmeleri, beklenmedik bellek kullanımı artışları ve olağandışı hata kayıtlarını izleyin. Genel öneri
- Bağımlılık yönetim araçlarıyla projelerdeki kütüphane sürümlerini düzenli olarak tarayın ve güvenlik duyurularını takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| 101arrowz fflate | 0.8.0 | – |
| 0.8.1 | – | |
| 0.8.2 | – | |
| 0.8.3 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-122146 Üçüncü taraf
- vuldb.com/submit/1027352 Üçüncü taraf
- github.com/ictrun/java/issues/9 İstismar kodu ya da analiz
- vuldb.com/vuln/431150 Diğer
- vuldb.com/vuln/431150/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.