- Son 7 gün
- CWE-307
CVE-2026-15586
Ontime ürününde OTP brute-force ile hesap ele geçirme açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- TR-CERT
Yönetici özeti
Bu açık, kullanıcı hesaplarının yetkisiz kişiler tarafından ele geçirilmesine yol açabilir ve bu da müşteri güveni ve iş sürekliliği açısından risk oluşturabilir. Ürünü kullanan kuruluşların bu konuyu orta öncelikli olarak ele alması ve güvenlik önlemlerini gözden geçirmesi önerilir. Üretici bildirime yanıt vermediği için resmi bir yama henüz bilinmemektedir.
ÖzetTürkçe
İdvlabs Software and Consulting Services Inc. tarafından geliştirilen Ontime ürününde, aşırı kimlik doğrulama denemelerine karşı yeterli sınırlama uygulanmadığı için brute force saldırısına açık bir zafiyet tespit edilmiştir. Etkilenen sürümler verilerde "2026-10-27 ve öncesi" olarak belirtilmiştir. Zafiyet, kimlik doğrulama için kullanılan tek kullanımlık şifre (OTP) mekanizmasının denenmesine izin vermektedir.
Saldırgan ne yapabilir?
Saldırgan, OTP kodlarını deneyerek doğrulama adımını aşabilir ve hedef hesabı ele geçirebilir. Verilerde gizlilik ihlali veya kimlik bilgisi sızıntısı ile ilgili bir bilgi bulunmamaktadır, ancak CVSS skoruna göre bütünlük etkisi düşük seviyededir.
Kaynaktaki açıklama (İngilizce)
Improper restriction of excessive authentication attempts vulnerability in İdvlabs Software and Consulting Services Inc. Ontime allows Brute Force.
This issue affects Ontime: through 2026-10-27.
NOTE: The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üretici bildirime yanıt vermediği için resmi bir düzeltilmiş sürüm bilgisi bulunmamaktadır. Ontime sürümünüzü etkilenen sürüm aralığında olup olmadığını kontrol edin. Genel öneri
- Ontime yönetici arayüzüne ve OTP doğrulama uç noktalarına yönelik erişimi, mümkünse güvenilir ağlarla veya IP beyaz listesiyle kısıtlayın. Genel öneri
- Başarısız OTP ve oturum açma denemelerini izleyin; kısa sürede çok sayıda denemeyi engelleyecek hız sınırlama veya geçici kilitleme mekanizması ekleyin. Genel öneri
- Üretici tarafından yama yayınlanana kadar, yüksek riskli veya kritik hesaplar için ek doğrulama katmanları (ör. iki faktörlü doğrulamanın farklı bir yöntemle uygulanması) değerlendirin. Genel öneri
Ek önlemler
- Üreticiden güvenlik güncellemesi için düzenli olarak bilgi isteyin ve resmi kanallardan yama duyurularını takip edin. Genel öneri
- Hesaplarda parola politikalarını güçlendirin ve kullanıcıların şüpheli giriş denemeleri hakkında bilgilendirilmesini sağlayın. Genel öneri
- Sistem günlüklerinde anormal oturum açma ve OTP doğrulama hatalarını düzenli olarak inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| İdvlabs Software and Consulting Services Inc. Ontime | ≤ 2026-10-27 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.