- Yama var
- Son 7 gün
- CWE-918
CVE-2026-19678
onPhase Forms'ta SSRF açığı, dahili Solr verilerinin ifşasına yol açıyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- MON-CSIRT
ÖzetTürkçe
onPhase Forms ürününün 11.0.14 sürümündeki kimlik doğrulaması gerektirmeyen form servisinde sunucu taraflı istek sahteciliği (SSRF) açığı bulunmaktadır. Bu açık, kimlik doğrulaması yapılmamış uzak bir saldırganın, herkese açık bir forma saldırganın kontrolündeki bir URL vererek dahili Apache Solr verilerine erişmesine olanak tanımaktadır.
Kaynaktaki açıklama (İngilizce)
A server-side request forgery (SSRF) vulnerability in the unauthenticated form service in version 11.0.14 in onPhase Forms allows an unauthenticated remote attacker to access sensitive internal Apache Solr data via an attacker-controlled URL supplied to a publicly accessible form.
Üreticinin çözüm notu (İngilizce)
* Upgrade to 11.0.17
* The unauthenticated registration endpoint has been removed.
* Rules run in a sandbox that blocks access to unapproved Java classes.
* The Document Service endpoint (/service) is disabled by default (frevvo.documentServiceApi.enabled=false). Re-enabling it brings back the risk of server-side request forgery and is done at the customer's own risk.
* Customers who cannot upgrade immediately should block /frevvo/web/webapp/register and /frevvo/web/**/service at their reverse proxy or web application firewall.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| onPhase Forms | 11.0.14 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.