- Son 7 gün
- CWE-918
CVE-2026-92210
NoMachine nxhtd sunucusunda sunucu taraflı istek sahteciliği bilgi ifşası zafiyeti
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- zdi
ÖzetTürkçe
Bu zafiyet, uzaktan bir saldırganın NoMachine kurulumlarında keyfi sunucu taraflı istekler başlatmasına olanak tanır. Sömürmek için kimlik doğrulaması gerekmez.
Sorun, varsayılan olarak UDP 4443 portunu dinleyen web servisinde bulunur. Kaynaklara erişmeden önce bir URI'nin uygun şekilde doğrulanmamasından kaynaklanır. Saldırgan bu zafiyeti kullanarak servis hesabının bağlamında istekler başlatabilir. Zafiyet ZDI-CAN-31619 kimliğiyle bildirilmiştir.
Kaynaktaki açıklama (İngilizce)
NoMachine nxhtd Server-Side Request Forgery Information Disclosure Vulnerability. This vulnerability allows remote attackers to initiate arbitrary server-side requests on affected installations of NoMachine. Authentication is not required to exploit this vulnerability.
The specific flaw exists within the web service, which listens on UDP port 4443 by default. The issue results from the lack of proper validation of a URI prior to accessing resources. An attacker can leverage this vulnerability to initiate requests in the context of the service account. Was ZDI-CAN-31619.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| NoMachine | nomachine_9.8.2_1_amd64.deb | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.