Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-50571

WebSub doğrulama yanıtında yansıyan betik çalıştırma (XSS) açığı

w3c websub

Orta 5,7 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, WebSub kullanan web uygulamalarında kullanıcıların oturum bilgilerinin ve tarayıcıda saklanan verilerinin çalınmasına veya kullanıcılar adına istenmeyen işlemlerin yapılmasına yol açabilir. Etkilenen sistemlerin kullanıcı verisi içermesi durumunda risk orta düzeydedir ve düzeltmenin planlı şekilde yapılması önerilir.

ÖzetTürkçe

WebSub protokolündeki niyet doğrulama (intent verification) sürecinde, abone tarafının döndürdüğü hub.challenge değeri güvenli medya türüyle sunulmuyor ve MIME sniffing kapatılmamış olabiliyor. Bu durum, saldırganın hazırladığı bir doğrulama isteğiyle tarayıcıda HTML veya JavaScript çalıştırılmasına yol açabilir. Açık, challenge değerini text/html olarak döndüren abone uygulamalarını etkiler.

Saldırgan ne yapabilir?

Saldırgan, kurbanın oturumunu kullanarak abone uygulamasının kökeninde betik çalıştırabilir; bu yolla localStorage/sessionStorage verilerine erişebilir, tarayıcı izinlerini kötüye kullanabilir ve kullanıcı adına işlem yaptırabilir. Yanıtın betik kaynağı olarak kullanılmasıyla script-src 'self' korumasının aşılması da mümkündür.

Kaynaktaki açıklama (İngilizce)

WebSub is a W3C recommendation produced by the Social Web Working Group. In recommendation REC-websub-20180123, the intent-verification protocol requires a subscriber to echo the hub.challenge value, also exposed as hub_challenge by some frameworks, but does not require safe response media typing or disabled MIME sniffing. An attacker can initiate a subscription to obtain a callback URL and redirect a victim browser to a crafted verification request containing HTML or JavaScript. Subscribers that return the challenge as text/html can execute the reflected content in the subscriber origin, using a victim's existing session to read private data or perform actions, exposing localStorage or sessionStorage and browser permissions granted to that origin. An alternative uses the verification response as an attacker-controlled same-origin script resource to bypass script-src 'self'; this can remain possible with application/octet-stream when MIME sniffing is allowed. Safe media typing and X-Content-Type-Options: nosniff are both needed to address the described scenarios. WebSub Rocks demonstrated reflection, but the advisory does not establish practical impact on that demonstration site.

Ne yapmalı?

  1. Kullandığınız WebSub abone yazılımı için satıcının yayımladığı güncellemeyi veya düzeltmeyi kontrol edin ve uygulayın. Satıcı tarafından belirtilmiş bir düzeltme sürümü bu kayıtta bulunmamaktadır. Genel öneri
  2. Doğrulama yanıtlarının (challenge) düz metin olarak, güvenli bir medya türüyle (ör. text/plain) döndürüldüğünden emin olun. Genel öneri
  3. Yanıtlarda X-Content-Type-Options: nosniff başlığını göndererek tarayıcının MIME sniffing yapmasını engelleyin. Genel öneri
  4. Güncelleme uygulanana kadar doğrulama uç noktasını, challenge değerini HTML olarak yansıtmayacak şekilde kısıtlayın veya geçici olarak devre dışı bırakmayı değerlendirin. Genel öneri

Ek önlemler

  • Abone uç noktalarına gelen doğrulama isteklerini izleyin ve olağandışı yoğunluk veya beklenmeyen parametre içeren istekleri inceleyin. Genel öneri
  • Tarayıcı tarafında içerik güvenlik politikası (CSP) uygulayarak satır içi betik çalıştırmayı sınırlayın. Genel öneri
  • Oturum çerezlerini mümkün olduğunca SameSite ve HttpOnly öznitelikleriyle yapılandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
w3c websub Sürüm belirtilmemiş –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.