CVE-2026-12593
Açıklama
Dahili ve belgelenmemiş bir Dashboard API uç noktasının (`POST /api/users/~/{user}/tokens`) uygulaması, başka bir kullanıcı için API Token oluşturmaya yönelik bir HTTP isteğinin bunu yapmak için yeterli izne sahip olduğunun doğrulanmasını ihmal etmiştir. Başarılı bir istismar için ön koşullar; saldırgandan daha fazla yetkiye sahip mevcut bir dahili kullanıcının bulunması, saldırganın bu kullanıcının giriş adını bilmesi ve saldırganın OAuth/OIDC aracılığıyla Dashboard'a kimlik doğrulaması yapabilmesidir. Saldırgan daha sonra diğer kullanıcı adına sahte bir token oluşturma API isteği gönderebilir ve kendi OAuth/OIDC kimlik bilgileriyle kimlik doğrulamasını gerçekleştirerek token oluşturma işlemini tamamlayabilirdi. En kötü durumda bu, eğer mevcut dahili kullanıcı yönetici ayrıcalıklarına sahipse, bir saldırganın Dashboard Yöneticisi olabileceği ve tüm yönetimsel eylemleri gerçekleştirebileceği anlamına geliyordu. Ayrı bir zafiyetle birleştiğinde bu durum, Dashboard sunucusunu çalıştıran işletim sistemi kullanıcısının yetkileriyle, Dashboard'un çalıştığı ana sistem üzerinde kod çalıştırılmasına yol açabilirdi.
Nasıl düzeltilir
- Qt Axivion7.9.13, 7.10.11, 7.11.7, 7.12.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Qt Axivion | 7.8.5 ≤ v ≤ 7.8.12, 7.9.0 ≤ v < 7.9.13, 7.10.0 ≤ v < 7.10.11, 7.11.0 ≤ v < 7.11.7, 7.12.0 ≤ v < 7.12.2 | 7.9.13, 7.10.11, 7.11.7, 7.12.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.