- Yama var
- Son 7 gün
- CWE-306
CVE-2026-19677
onPhase Forms kayıt formunda kimlik doğrulama atlatma; sunucuda komut çalıştırma
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- MON-CSIRT
Yönetici özeti
Bu açık, yetkisiz kişilerin şirketin form sunucusunu tamamen kontrol etmesine olanak tanıyabilir ve bu da veri sızıntısı, hizmet kesintisi ve itibar kaybı riski doğurur. Etkilenen sürüm kullanılıyorsa acil olarak güncelleme veya geçici önlem alınması önerilir.
ÖzetTürkçe
onPhase Forms (frevvo) ürününün 11.0.14 sürümündeki herkese açık onPhase/ kayıt formunda kimlik doğrulama atlatma açığı bulunmaktadır. Kimlik doğrulaması yapılmamış uzak bir saldırgan, geçerli bir kiracı adı ve mevcut bir kullanıcı kimliği içeren kayıt parametrelerini manipüle ederek kiracı kullanıcısı olarak oturum açabilmektedir. Bu durum, sunucuda işletim sistemi komutlarının çalıştırılmasına imkân tanımaktadır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan TenantAdmin ve Designer yetkilerini ele geçirebilir ve sunucu işletim sistemi üzerinde rastgele komutlar çalıştırabilir. Bu, sistemin tamamen ele geçirilmesi ve kiracı verilerinin okunması veya değiştirilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
An authentication bypass vulnerability in the public onPhase/ frevvo registration form version 11.0.14 allows an unauthenticated remote attacker to authenticate as an arbitrary tenant user, obtain TenantAdmin and Designer privileges, and execute arbitrary operating system commands via manipulation of registration parameters containing a valid tenant name and existing user identifier.
Üreticinin çözüm notu (İngilizce)
* Upgrade to 11.0.17
* The
unauthenticated registration endpoint has been removed.
* Rules run in a
sandbox that blocks access to unapproved Java classes.
* The Document
Service endpoint (/service) is disabled by default
(frevvo.documentServiceApi.enabled=false). Re-enabling it brings back the
risk of server-side request forgery and is done at the customer's own
risk.
* Customers who
cannot upgrade immediately should block /frevvo/web/webapp/register and
/frevvo/web/**/service at their reverse proxy or web application firewall.
Ne yapmalı?
- Ürünü 11.0.17 sürümüne yükseltin. Üretici
- Yükseltme hemen yapılamıyorsa, kayıt uç noktası olan /frevvo/web/webapp/register yolunu ters vekil sunucuda (reverse proxy) veya web uygulama güvenlik duvarında (WAF) engelleyin. Üretici
- Document Service uç noktası olan /frevvo/web/**/service yolunu da ters vekil sunucuda veya WAF üzerinde engelleyin. Üretici
- Document Service özelliğini varsayılan olarak kapalı tutun; yeniden etkinleştirmek sunucu taraflı istek sahteciliği (SSRF) riskini geri getirir ve müşterinin kendi sorumluluğundadır. Üretici
Ek önlemler
- Sistemde yetkisiz kayıt denemelerini ve olağan dışı yönetici oturumlarını izleyin. Genel öneri
- Sunucu sürecinin beklenmedik işletim sistemi komutları çalıştırıp çalıştırmadığını günlük kayıtlarıyla kontrol edin. Genel öneri
- Yükseltme sonrası TenantAdmin ve Designer yetkisine sahip hesapları gözden geçirin ve gerekmeyenleri kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| onPhase Forms | 11.0.14 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.