CVE-2026-105131
Orta
Açıklama
ezBookkeeping 1.2.0 ile 2.0.1 arasındaki sürümler, bir API token'ına sahip olan saldırganların /api/v1/tokens/refresh.json üzerinden tam bir oturum token'ı elde etmesine olanak tanıyan bir yetki yükseltme zafiyeti içermektedir. TokenRefreshHandler hiçbir zaman token türünü kontrol etmediği için saldırganlar; kısa ömürlü veya IP kısıtlamalı API token'larını, API token süresini ve izin verilenler listelerini (allowlist) atlayan 30 günlük normal oturum token'ları ile değiştirebilirler.
ÖnemOrta
CVSS5.4
İstismar olasılığı—
ÜrünezBookkeeping
Yayın4 Eki 2026
İlk görülme4 Eki 2026
Zayıflık türüCWE-863Hatalı yetki denetimi
Nasıl düzeltilir
Güncelleyin
- mayswind ezBookkeeping2.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mayswind ezBookkeeping | 1.2.0 ≤ v < 2.0.1 | 2.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.