CVE-2026-25551
Açıklama
Seagull Software BarTender 2021 R1 ile 12.0.1 arasındaki sürümler, düşük yetkili yerel kullanıcıların yetki yükseltmesine olanak tanıyan bir güvensiz deserialization zafiyeti içermektedir. DataServiceSingleton .NET Remoting uç noktası, BtSystem.Service.exe aracılığıyla TCP port 7375 üzerinden localhost'a bağlanarak saldırı yüzeyini yalnızca yerel erişimle sınırlandırmaktadır. Uç nokta, BinaryServerFormatterSinkProvider ve TypeFilterLevel değeri Full olarak yapılandırılmıştır. Düşük yetkili yerel bir saldırgan, NT AUTHORITY\\SYSTEM olarak kod çalıştırmak için localhost'a bağlı uç noktaya YSoSerial.NET tarafından oluşturulan BinaryFormatter yüklerini gönderebilir. Zafiyet, 14 Ağustos 2026 tarihinde yayınlanan BarTender 12.1 sürümünde giderilmiştir. Kullanıcıların BarTender 12.1 veya daha yeni bir sürüme yükseltme yapmaları önerilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Seagull Software, LLC. BarTender 2021 | R1 ≤ v ≤ 12.0.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.