ThinkCMF 8.0.1'de yetkisiz yönetici API erişimi açığı (CVSS 8.8)
Yapay zeka üretimi16.10.2026
- CVE
- CVE-2026-111352
- Ciddiyet
- Yüksek (CVSS 8.8)
- Firma / ürün
- - / -
Özet
ThinkCMF 8.0.1 sürümünde, RestAdminBaseController'da yetkilendirme hatası bulunuyor; geçerli bir yönetici API belirteci olan saldırganlar, tüm yönetici REST API uç noktalarına erişerek üye e-posta ve telefon numaralarını görebilir, üyeleri devre dışı bırakabilir ve kendilerine tam yönetici yetkisi verebilir.
Ayrıntılar
NVD kaydına göre ThinkCMF 8.0.1 sürümünde RestAdminBaseController içinde hatalı bir yetkilendirme mekanizması mevcut. Auth::check() fonksiyonu, admin_api kuralı bulunmadığında açık kalıyor ve bu durum, geçerli bir yönetici-tipi API belirteci taşıyan bir saldırganın tüm yönetici REST API uç noktalarını çağırmasına izin veriyor. Saldırganlar üye e-posta ve telefon numaralarını listeleyebilir, üyeleri devre dışı bırakabilir ve PUT admin/roles/{id}/authorize isteğiyle kendilerine tam yönetici hakları kazandırabilir. Açığın ciddiyeti CVSS 8.8 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.