Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-639
  • CWE-863

CVE-2026-63338

IXP Manager API anahtarı yönetiminde yetkisiz nesne erişimi (BOLA)

inex IXP-Manager

Yüksek 8,3 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
0 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sisteme giriş yapmış bir kullanıcının diğer kullanıcıların erişim anahtarlarına müdahale etmesine olanak tanır. Erişim anahtarları ele geçirilirse ağ yönetimi verilerinde ve hizmetlerde yetkisiz değişiklik riski doğar. Güncelleme yapılması ve sürümün hızlı şekilde yükseltilmesi önerilir.

ÖzetTürkçe

IXP Manager, İnternet değişim noktalarını (IXP) yönetmek için kullanılan tam yığın bir web uygulamasıdır. 7.3.0 öncesi sürümlerde, kimliği doğrulanmış bir kullanıcı, ApiKeyController içindeki API anahtarı düzenleme ve güncelleme akışında kaydın sahibinin kendisi olup olmadığı kontrol edilmediği için başka bir kullanıcının API anahtarı kaydını görüntüleyebilir ve değiştirebilir. Etkilenen ürün inex IXP-Manager'ın 7.3.0 öncesi sürümleridir.

Saldırgan ne yapabilir?

Saldırgan, kimliği doğrulanmış olması koşuluyla başka kullanıcılara ait API anahtarı kayıtlarını okuyabilir ve değiştirebilir; bu da ele geçirilmiş bir API anahtarıyla yetkisiz işlem yapılmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

IXP Manager is a full-stack web application for managing Internet Exchange Points. Prior to version 7.3.0, an authenticated user can view and edit a resource belonging to another user without authorization. The API-key edit/update path in ApiKeyController selects records by identifier without checking that user_id matches the caller, allowing access to another user's API-key record. This issue is fixed in version 7.3.0.

Ne yapmalı?

  1. IXP Manager'ı 7.3.0 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeden önce, sistemde yetkisiz değişiklik yapılmış olabileceğini düşünerek API anahtarı kayıtlarını ve son değişiklikleri kontrol edin. Genel öneri
  3. Şüphe duyulan API anahtarlarını iptal edip yenisini oluşturun. Genel öneri

Ek önlemler

  • Kullanıcıların yalnızca kendi API anahtarlarına erişebildiğini doğrulamak için yetki kontrollerini gözden geçirin. Genel öneri
  • API anahtarı oluşturma, değiştirme ve silme işlemlerini kayıt altına alıp düzenli olarak izleyin. Genel öneri
  • Gereksiz kullanıcı hesaplarını kaldırın ve yetkili kullanıcıların sayısını sınırlandırın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
inex IXP-Manager < 7.3.0 7.3.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.