APIPark 1.9.7-beta sürümünde yetkilendirme atlatma açığı
Yapay zeka üretimi17.10.2026
- CVE
- CVE-2026-111680
- Ciddiyet
- Yüksek (CVSS 8.3)
- Firma / ürün
- - / -
Özet
APIPark 1.9.7-beta sürümünde, kimliği doğrulanmış takım yöneticileri, takım kimliğini değiştirerek diğer takımların hizmet ve uygulamalarına erişebiliyor.
Ayrıntılar
NVD kaydına göre, APIPark 1.9.7-beta sürümünde yetkilendirme atlatma (authorization bypass) açığı bulunuyor. Kimliği doğrulanmış takım yöneticileri, isteklerde kendi takım kimliklerini belirten bir parametre göndererek diğer takımların hizmet ve uygulamalarına ulaşabiliyor. Bu durum, /api/v1/simple/services ve /api/v1/simple/apps uç noktalarından elde edilen hizmet ya da uygulama kimlikleriyle, /api/v1/service/info ve /api/v1/app uç noktaları üzerinden okuma, değiştirme veya silme işlemlerine olanak tanıyor. Açığın ciddiyeti CVSS puanı 8.3 olduğu için yüksek olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Açık için bir yama ya da güncelleme yayınlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlı tutun.