Ellucian WebAdvisor 3.2'de Kimlik Doğrulaması Gerektirmeyen XXE Açığı
Yapay zeka üretimi19.10.2026
- CVE
- CVE-2026-109430
- Ciddiyet
- Yüksek (CVSS 7.5)
- Firma / ürün
- - / -
Özet
Ellucian WebAdvisor 3.2, kimlik doğrulaması gerektirmeyen bir XML External Entity (XXE) enjeksiyon açığı içeriyor; saldırganlar bu açıktan sunucu tarafı istekleri (SSRF), NTLMv2 hash sızdırma ve dosya okuma gibi işlemleri gerçekleştirebilir.
Ayrıntılar
NVD kaydına göre, Ellucian WebAdvisor 3.2 sürümünde kimlik doğrulaması yapılmadan XML POST istekleri gönderilerek dış varlık ve DTD çözümlemesi engellenmediği için bir XXE enjeksiyon açığı bulunuyor. Bu açık, uzaktan saldırganların sunucuyu başka sistemlere yönlendiren SSRF istekleri yapmasına, saldırganın kontrolündeki SMB paylaşımları aracılığıyla NTLMv2 hash elde etmesine ve Windows ana makineden rastgele dosyaları dış kanaldan okumasına olanak tanıyor. Açığın ciddiyeti yüksek (CVSS 7.5) olarak değerlendirilmiştir. WebAdvisor, Haziran 2022'de destek dışı kalmış olup, kullanıcıların Colleague Self-Service'e geçiş yapmaları önerilmektedir.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında derhal uygulayın ve ürüne erişimi mümkün olduğunca sınırlayın.