BotSharp 5.2.0'da kimlik doğrulama atlatma açığı kritik seviyede
Yapay zeka üretimi14.10.2026
- CVE
- CVE-2026-108860
- Ciddiyet
- Kritik (CVSS 9.1)
- Firma / ürün
- - / -
Özet
BotSharp 5.2.0 sürümünde, sabit bir JWT anahtarı kullanılarak kimlik doğrulama atlatılabiliyor; bu sayede yetkisiz saldırganlar yetkili kullanıcıları taklit edebiliyor.
Ayrıntılar
NVD kaydına göre BotSharp 5.2.0 sürümünde kimlik doğrulama atlatma açığı bulunuyor. Saldırganlar, WebStarter uygulamasının appsettings.json dosyasında sabit olarak yer alan Jwt:Key değerini kullanarak sahte bearer tokenları oluşturabiliyor. Bu tokenlar, HMAC gizli anahtarı ve sabit botsharp issuer ile audience bilgileriyle imzalanarak, yetkilendirilmiş API yollarına erişim sağlayan herhangi bir kullanıcı, hatta yöneticiler dahi taklit edilebiliyor. Açığın ciddiyeti CVSS 9.1 puanıyla kritik olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.