- Son 7 gün
- CWE-284
- CWE-434
CVE-2026-123991
DataEase kimlik doğrulama filtresinde kısıtlanmamış dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, DataEase kullanan sistemlerde kimlik doğrulaması gerektirmeden dosya yüklenmesine izin verebilir ve saldırganların sisteme zararlı içerik yerleştirmesine olanak tanır. Herkese açık bir istismar kodunun bulunması nedeniyle risk yüksektir ve güncelleme önceliklendirilmelidir.
ÖzetTürkçe
DataEase uygulamasının 2.10.27 dahil olmak üzere 2.10.0 ile 2.10.27 arasındaki sürümlerinde, kimlik doğrulama filtresindeki WhitelistUtils.endsWithAny fonksiyonu dosya yükleme isteklerini yeterince denetlemiyor. Bu hata, bağımsız statik kaynak yükleme uç noktasında kimlik doğrulamanın URI sonek beyaz listesinden bağımsız uygulanmamasından kaynaklanıyor. Açık, uzaktan ve kimlik doğrulaması olmadan istismar edilebilir; herkese açık bir istismar kodu da mevcut.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan sunucuya keyfi dosya yükleyebilir; bu da sistemde kötü amaçlı içerik bırakmasına ve sınırlı da olsa veri okuma, değiştirme veya hizmet aksamasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was detected in DataEase up to 2.10.27. Affected by this vulnerability is the function WhitelistUtils.endsWithAny of the file WhitelistUtils.java of the component Authentication Filter. Performing a manipulation of the argument File results in unrestricted upload. It is possible to initiate the attack remotely. The exploit is now public and may be used. Upgrading to version 2.10.28 addresses this issue. It is advisable to upgrade the affected component. The vendor confirms: "This issue has been addressed by enforcing authentication on the standalone static-resource upload endpoint independently of the URI suffix whitelist."
Ne yapmalı?
- DataEase uygulamasını 2.10.28 veya üzeri bir sürüme yükseltin. Satıcı, sorunun bağımsız statik kaynak yükleme uç noktasında kimlik doğrulamasının zorunlu kılınmasıyla giderildiğini belirtiyor. Genel öneri
- Yükseltme yapılana kadar DataEase örneklerine dışarıdan erişimi kısıtlayın ve yükleme işlevine ulaşılabilen uç noktaları ağ düzeyinde engelleyin. Genel öneri
- Yükleme dizinlerini inceleyerek beklenmedik dosya olup olmadığını kontrol edin ve şüpheli dosyaları güvenli şekilde kaldırın. Genel öneri
Ek önlemler
- Sunucu erişim ve uygulama günlüklerini, özellikle yükleme isteklerini ve yeni oluşturulan dosyaları düzenli olarak izleyin. Genel öneri
- Uygulamanın yüklenen dosyaları web üzerinden çalıştırılamayacak bir dizinde saklandığından emin olun. Genel öneri
- Kimlik doğrulama gerektirmeyen uç noktaların listesini düzenli olarak gözden geçirin ve gereksiz olanları kapatın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| DataEase | 2.10.0 | – |
| 2.10.1 | – | |
| 2.10.2 | – | |
| 2.10.3 | – | |
| 2.10.4 | – | |
| 2.10.5 | – | |
| 2.10.6 | – | |
| 2.10.7 | – | |
| 2.10.8 | – | |
| 2.10.9 | – | |
| 2.10.10 | – | |
| 2.10.11 | – |
ve 17 satır daha
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/dataease/dataease/releases/tag/v2.10.28 Yama
- vuldb.com/cve/CVE-2026-123991 Üçüncü taraf
- vuldb.com/submit/1035491 Üçüncü taraf
- vuldb.com/vuln/432070 Diğer
- vuldb.com/vuln/432070/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.