Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306

CVE-2026-63396

Coop uygulamasında kimlik doğrulamasız GraphQL sorgusu ile veri sızıntısı

roostorg coop

Yüksek 8,7 CVSS 4.0
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, sistemde kayıtlı kişilerin ve kuruluşların iletişim bilgilerinin herkese açık olarak erişilebilir hale gelmesine yol açabilir. Kişisel verilerin sızması hem yasal yükümlülükler hem de itibar açısından ciddi risk oluşturur. Kurulumunuz internete açıksa, güncellemeyi gecikmeden yapmanız önerilir.

ÖzetTürkçe

Coop, ROOST tarafından geliştirilen açık kaynaklı bir inceleme ve moderasyon aracıdır. 1.0.0 öncesi sürümlerde, herkese açık erişilebilen bir kurulumda kimliği doğrulanmamış bir kullanıcı, /api/v1/graphql uç noktası üzerinden allOrgs sorgusunu çalıştırabilmektedir. Bu sorgu, tüm organizasyonların kimlik numaraları, adları, e-posta adresleri, web sitesi adresleri ve uyarı e-posta adreslerini döndürmektedir. Ayrıca usersWhoCanReviewEveryQueue alanı, inceleme yapan kullanıcıların kimlik, e-posta, ad-soyad, rol, yetki ve oluşturulma tarihi bilgilerini açığa çıkarmaktadır. Servis, kimliği doğrulanmış özel bir ağda çalıştırıldığında dış saldırganlar GraphQL API'sine doğrudan erişemez.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması yapmadan organizasyonlara ve inceleme yapan kullanıcılara ait kişisel verileri (e-posta adresleri, ad-soyad gibi) elde edebilir. Bu bilgiler hedefli oltalama saldırılarında kullanılabilir.

Kaynaktaki açıklama (İngilizce)

Coop is an open source review and moderation tool from ROOST. Prior to 1.0.0, an unauthenticated actor can query Query.allOrgs through /api/v1/graphql on a publicly accessible deployment and obtain data for all organizations, including organization IDs, names, email addresses, website URLs and on-call alert email addresses. The usersWhoCanReviewEveryQueue field also exposes reviewing users' IDs, email addresses, first and last names, roles, permissions and creation dates. Running the service on an authenticated private network prevents outside actors from directly querying the GraphQL API. This issue is fixed in version 1.0.0.

Ne yapmalı?

  1. Coop uygulamasını 1.0.0 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde, servisin internete açık olup olmadığını kontrol edin ve mümkünse GraphQL uç noktasına erişimi kimliği doğrulanmış özel ağla sınırlandırın. Genel öneri
  3. Güncellemeden sonra, kimlik doğrulaması olmadan GraphQL uç noktasına erişilip erişilemediğini test edin. Genel öneri

Ek önlemler

  • Uygulamayı kimliği doğrulanmamış kullanıcılardan gelen GraphQL isteklerine karşı izleyin ve olağandışı sorgu trafiğini kayıt altına alın. Genel öneri
  • Etkilenen dönemde kişisel veri erişimi olup olmadığını değerlendirin ve gerekiyorsa ilgili kişileri bilgilendirmek için yasal süreçleri takip edin. Genel öneri
  • Yönetici ve kullanıcı e-posta adreslerinin gereksiz yere açığa çıkmaması için veri minimizasyonu ilkesini uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
roostorg coop < 1.0.0 1.0.0

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.