ChronoFrame 1.0.0'de kimlik doğrulama eksikliği saldırganların yapılandırmayı değiştirmesine izin veriyor
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-111650
- Ciddiyet
- Yüksek (CVSS 8.6)
- Firma / ürün
- - / -
Özet
ChronoFrame 1.0.0 sürümünde, /api/wizard/storage uç noktasına kimlik doğrulama yapılmadığı için yetkisiz saldırganlar yapılandırılmış örnekleri yeniden yapılandırabilir.
Ayrıntılar
NVD kaydına göre ChronoFrame'in 1.0.0 sürümünde sunucu/api/wizard/ işleyicilerinde kimlik doğrulama eksikliği bulunuyor. Yetkisiz saldırganlar /api/wizard/storage yoluna POST isteği göndererek saldırgan kontrolündeki bir S3 ya da OpenList sağlayıcısını etkinleştirebilir, böylece dosya yüklemelerini ve okuma işlemlerini yönlendirebilir, site ve harita ayarlarını üzerine yazabilir. Açığın ciddiyeti CVSS 8.6 puanıyla yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.