CVE-2026-11960

FacturaScripts versiyon 2025.61'de kimliği doğrulanmamış kullanıcıların numaralandırılması mümkündür. Uygulama, geçerli bir kullanıcı adı ile giriş yapmaya çalışıldığında, geçersiz bir kullanıcı adına kıyasla farklı yanıtlar döndürmektedir. Kimliği doğrulanmamış bir saldırgan; yanıt süresindeki değişiklikler, hata mesajları arasındaki tutarsızlıklar veya HTTP durum kodlarındaki farklar gibi uygulama yanıtlarındaki varyasyonları inceleyerek geçerli kullanıcı adlarını sistematik olarak tespit edebilir. Başarılı bir istismar, saldırganın geçerli kullanıcı hesaplarından oluşan bir liste derlemesine olanak tanır. Bu liste; onaylanmış hesaplara yönelik hedefli kaba kuvvet (brute-force) saldırıları, parola püskürtme (password spraying), kimlik bilgisi doldurma (credential stuffing) veya sosyal mühendislik kampanyaları yürütmek için kullanılabilir.