- Son 7 gün
- CWE-287
- CWE-306
CVE-2026-123024
AgentScope Agent Service'te kimlik doğrulama eksikliği (X-User-ID başlığı)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Yapay zekâ ajanlarını yöneten bu yazılımda, kimliği doğrulanmamış kişilerin başka kullanıcı gibi davranabildiği bir açık bulunmaktadır. Açık herkese açık biçimde istismar edilebildiği için veri sızıntısı ve hizmet kötüye kullanımı riski yüksektir. Etkilenen sistemlerin acilen güncellenmesi veya geçici olarak kapatılması önerilir.
ÖzetTürkçe
AgentScope'un 2.0.0 ile 2.0.11 arasındaki sürümlerinde, Agent Service bileşeninin deps.py dosyasındaki get_current_user_id fonksiyonu kullanıcı kimliğini doğrulamadan kabul etmektedir. Saldırgan X-User-ID başlığını değiştirerek kimlik doğrulaması olmadan başka bir kullanıcı olarak işlem yapabilir. Açık uzaktan istismar edilebilir ve istismar kodu kamuya açıklanmıştır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması yapmadan uzaktan erişim sağlayabilir, başka kullanıcıların verilerini okuyabilir veya değiştirebilir ve ajan hizmetlerini kötüye kullanabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability has been found in agentscope-ai AgentScope up to 2.0.11. This impacts the function get_current_user_id of the file src/agentscope/app/deps.py of the component Agent Service. Such manipulation of the argument X-User-ID leads to missing authentication. The attack can be executed remotely. The exploit has been disclosed to the public and may be used. The pull request to fix this issue awaits acceptance.
Ne yapmalı?
- Yayımlanmış bir düzeltilmiş sürüm bulunana kadar, AgentScope 2.0.0 ile 2.0.11 arasındaki sürümleri kullanan sistemleri erişime kapatın veya Agent Service'e yalnızca güvenilir ağlardan erişilmesini sağlayın. Genel öneri
- Satıcının düzeltme çalışması için hazırlanan değişiklik talebinin (pull request) kabul edilmesini ve yeni sürümün yayımlanmasını takip edin; yayımlandığında hemen güncelleyin. Genel öneri
- Ters proxy veya ağ geçidi üzerinden X-User-ID başlığının dış kaynaklı isteklerden gelmesini engelleyin ya da bu başlığı istemci tarafından gelen değerlerden temizleyin. Genel öneri
- Güncelleme yapılana kadar sisteme erişimi olan kullanıcı kayıtlarını ve ajan işlem günlüklerini kontrol ederek olağandışı etkinlik olup olmadığını inceleyin. Genel öneri
Ek önlemler
- Kimlik doğrulamasını uygulama katmanında, her istekte oturum veya token doğrulamasıyla yapın; istemcinin gönderdiği kullanıcı kimliğine güvenmeyin. Genel öneri
- Agent Service'i internete doğrudan açmayın; yönetim ve API uç noktalarını VPN veya kimlik doğrulamalı ağ geçidi arkasında tutun. Genel öneri
- Beklenmedik kullanıcı kimliği değişikliklerini ve yetkisiz erişim denemelerini izlemek için günlük kaydı ve uyarı kuralları oluşturun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| agentscope-ai AgentScope | 2.0.0 | – |
| 2.0.1 | – | |
| 2.0.2 | – | |
| 2.0.3 | – | |
| 2.0.4 | – | |
| 2.0.5 | – | |
| 2.0.6 | – | |
| 2.0.7 | – | |
| 2.0.8 | – | |
| 2.0.9 | – | |
| 2.0.10 | – | |
| 2.0.11 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/agentscope-ai/agentscope/pull/3448 Yama
- vuldb.com/cve/CVE-2026-123024 Üçüncü taraf
- vuldb.com/submit/1033132 Üçüncü taraf
- github.com/agentscope-ai/agentscope/issues/3314 Üçüncü taraf
- github.com/…nt-service-x-user-id-missing-authentication.md İstismar kodu ya da analiz
- vuldb.com/vuln/431397 Diğer
- vuldb.com/vuln/431397/cti Diğer
- github.com/agentscope-ai/agentscope Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.