- Son 7 gün
- CWE-269
CVE-2026-77172
Nextcloud Server'da uygulama parolalarıyla hassas uç noktalarda parola doğrulamasının atlanması
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- hackerone
Yönetici özeti
Bu açık, Nextcloud üzerinde dosya ve hesap verilerini sa873 saklayan kurumlar için orta düzeyde risk oluşturur. Saldırının gerçekleşmesi için saldırganın önce bir uygulama parolasını ele geçirmesi gerekir, bu nedenle hemen kritik bir durum değildir. Yine de etkilenen sürümlerin planlı bir şekilde güncellenmesi önerilir.
ÖzetTürkçe
Nextcloud Server'da, uygulama parolalarının hassas uç noktalarda zorunlu parola onayı adımını atlatmasına izin veren bir yetki yönetimi hatası bulunmaktadır. Etkilenen sürümler 32.0.0 ile 34.0.0 (dahil) arasındaki Nextcloud Server kurulumlarıdır. Saldırganın kullanıcının ana parolasını bilmesi gerekmez, ancak geçerli bir uygulama parolası ele geçirmiş olması gerekir.
Saldırgan ne yapabilir?
Saldırgan, ele geçirdiği uygulama parolasıyla normalde yeniden parola onayı istenen hassas işlemleri gerçekleştirebilir ve hesap verilerinde değişiklik yapabilir. Gizlilik etkisi bildirilmemiştir.
Kaynaktaki açıklama (İngilizce)
App passwords were allowed to bypass password confirmation on sensitive endpoints.
Ne yapmalı?
- Nextcloud Server'ı, bu açığın giderildiği 34.0.0 sonrası bir sürüme güncelleyin; etkilenen aralık 32.0.0 ile 34.0.0 (dahil) arasıdır. Genel öneri
- Güncelleme öncesinde kullanılmayan veya şüpheli uygulama parolalarını hesap güvenlik ayarlarından iptal edin ve gerekli olanları yeniden oluşturun. Genel öneri
- Güncellemeden sonra hassas işlemler için parola onayının uygulama parolalarıyla da beklendiği gibi istendiğini doğrulayın. Genel öneri
Ek önlemler
- Uygulama parolalarını yalnızca gerekli istemcilere tanımlayın ve düzenli aralıklarla gözden geçirin. Genel öneri
- Hesap güvenlik günlüklerinde olağandışı uygulama parolası kullanımı ve hassas işlem girişimlerini izleyin. Genel öneri
- Yöneticiler ve yüksek yetkili kullanıcılar için iki faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Nextcloud Server | ≥ 32.0.0, ≤ 34.0.0 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.