CVE-2026-109394

Yüksek

Açıklama

Thirty bees 1.7.0 ve öncesi sürümler, PasswordController::resolveCustomer() fonksiyonunda kimlik doğrulama atlatma zafiyeti içermektedir; bu durum, kimliği doğrulanmamış saldırganların misafir hesap belirteçlerini kullanarak kayıtlı müşterilerin şifrelerini sıfırlamasına olanak tanır. Misafir ödeme seçeneği etkinleştirildiğinde, saldırganlar mağdurun e-posta adresiyle bir misafir siparişi verebilir ve ardından misafir güvenli anahtarını kullanarak mağdurun hesabını sıfırlayabilir ve ele geçirebilir.

ÖnemYüksek

CVSS7.4

İstismar olasılığı—

ÜrünThirty Bees

Yayın12 Eki 2026

İlk görülme12 Eki 2026

Zayıflık türüCWE-639Kullanıcının denetlediği anahtarla yetki atlatma

Nasıl düzeltilir

Yamalar

github.com/thirtybees/thirtybees/commit/66410fd2a7ca9d1121a4b9551f59637ae6e4bcf1

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
thirty bees thirty bees	v ≤ 1.7.0	—

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.