Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-79

CVE-2026-58205

GRR uygulamasında yansıtılan (reflected) siteler arası betik çalıştırma (XSS) açığı

JeromeDevome GRR

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, GRR kullanan kurumların kullanıcı hesaplarının ele geçirilmesine ve sahte bağlantılarla kandırılmasına yol açabilir. Kullanıcı verilerinin ve kurum itibarının zarar görme riski nedeniyle güncellemenin öncelikli olarak yapılması önerilir.

ÖzetTürkçe

GRR, kaynak yönetimi ve rezervasyon uygulamasıdır. 4.5.0 öncesi sürümlerde maj.php dosyası, kurulum dosyaları erişilebilir durumda kaldığında forcemaj parametresini yeterli kaçış işlemi yapmadan sayfaya yansıtmaktadır. Kurulum dosyalarının silinmesi otomatik değildir. Bu nedenle 4.5.0 öncesindeki tüm GRR kurulumları etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan, kurbanın tarayıcısında keyfi JavaScript çalıştırabilecek özel hazırlanmış bir bağlantı oluşturabilir. Bu yolla oltalama, kötü amaçlı sitelere yönlendirme, çerez çalma ve oturum ele geçirme mümkündür; kimlik doğrulama çerezi HttpOnly olarak işaretlenmediği için bu risk artmaktadır.

Kaynaktaki açıklama (İngilizce)

GRR is a resource management and reservation application. Prior to version 4.5.0, maj.php reflects the forcemaj parameter without adequate escaping when installation files remain accessible. Removal of these files is not automatic. An attacker can craft a URL that executes arbitrary JavaScript in a victim's browser when the victim accesses it. This reflected cross-site scripting can enable phishing, redirection to malicious sites, cookie theft and session hijacking because the authentication cookie is not HttpOnly. This issue is fixed in version 4.5.0.

Ne yapmalı?

  1. GRR uygulamasını 4.5.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme sonrasında kurulum dosyalarının sunucudan kaldırıldığını doğrulayın; bu dosyalar otomatik olarak silinmemektedir. Genel öneri
  3. Güncelleme yapılana kadar kurulum dosyalarına dış erişimi sunucu düzeyinde engelleyin. Genel öneri

Ek önlemler

  • Kimlik doğrulama çerezlerinin HttpOnly ve güvenli bağlantı (Secure) özellikleriyle ayarlandığından emin olun. Genel öneri
  • Uygulama erişim günlüklerinde maj.php dosyasına yönelik şüpheli, uzun veya özel karakterler içeren istekleri izleyin. Genel öneri
  • Kullanıcılara bilinmeyen bağlantılara tıklamadan önce dikkat etmelerini hatırlatın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
JeromeDevome GRR < 4.5.0 4.5.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.