Altyapınız için güvenlik istihbaratı.
Ubuntu Server, Windows Server, Proxmox VE, Plesk, FortiGate / FortiOS ve 6 platform daha
üzerindeki güvenlik açıklarını, kritik yamaları ve sürüm gelişmelerini tek ekranda izleyin. Doğrulanmış, önceliklendirilmiş ve uygulanabilir bilgiyle her zaman bir adım önde olun.
searchParamsToObject() içindeki prototip kirlenmesi (prototype pollution) açığı Maps'te kalıcı bir XSS'e yol açıyor. URL parametre işleme, __proto__ gibi tehlikeli özellikleri filtrelemiyordu; buna jQuery'nin prototip zincirini izleyen güvensiz öğe oluşturması da eklenince sorun oluştu.
Zabbix 7.4'te Frontend oturumlarını imzalamak için kullanılan kriptografik anahtar yanlışlıkla veritabanı seed'ine yazıldı. Şu anda bilinen tek istismar senaryosu hem SAML kimlik doğrulaması hem de misafir kullanıcıları kullanan dağıtımlardır. Bu gibi durumlarda anahtar, geçerli oturum çerezleri oluşturmak için kullanılabilir ve yetkisiz erişime yol açabilir. Diğer Zabbix dağıtımlarının bilinen bir etkisi yoktur.
Item history widget (Zabbix 7.0+ içinde) veya Plain text widget (Zabbix 6.0 içinde), HTML görüntüleme etkinleştirildiğinde enjekte edilmiş JavaScript'i çalıştırabilir. Bu, bu widget'ları içeren bir panoyu açan kullanıcıya bağlı olarak saldırganın yetkisiz işlemler gerçekleştirmesine olanak sağlayabilir. Kötü amaçlı JavaScript, saldırganın kontrolündeki izlenen bir sunucudan gelmek zorunda olacaktır. Not: Item history widget, Zabbix 7.0'dan beri Plain text widget'ın yerini alır.
Kimliği doğrulanmış (super olmayan) bir yönetici, Host navigator widget'ta o bakım dönemi için tooltip açan herhangi bir kullanıcı tarafından çalıştırılan bir JavaScript yükü içeren bir bakım dönemi oluşturabilir. Bu, saldırganın tooltip'i açan kullanıcıya bağlı olarak yetkisiz işlemler yapmasına imkan verebilir.
API erişimi olan düşük ayrıcalıklı bir Zabbix kullanıcısı include/classes/api/CApiService.php içindeki bir kör SQL enjeksiyonu zafiyetini sortfield parametresi aracılığıyla keyfi SQL SELECT sorguları çalıştırmak için kullanabilir. Sorgu sonuçları doğrudan döndürülmese de, saldırgan zaman-tabanlı tekniklerle veritabanından istenen verileri sızdırabilir; bu, oturum tanımlayıcılarının açığa çıkmasına ve yönetici hesabının ele geçirilmesine yol açabilir.
Ana bilgisayar ve olay eylem betiği girdisi regex ile (yönetici tarafından ayarlanır) doğrulanır, ancak doğrulama çok satırlı modda çalışır. Eğer kullanıcı girdisi doğrulamasında ^ ve $ bağlayıcıları kullanılıyorsa, enjekte edilmiş bir yeni satır kimliği doğrulanmış kullanıcıların kontrolü atlamasına ve kabuk komutları enjekte etmesine izin verir.
Performans nedenleriyle Zabbix Server/Proxy, JavaScript (Duktape) bağlamlarını (script öğeleri, JavaScript yeniden işlemesi, Webhooks) yeniden kullanır. Bu, normal (super olmayan) bir Zabbix yöneticisinin erişimi olmayan host'lar için verileri sızdırmasına ve gizlilik kaybına yol açabilir. Yerleşik Zabbix JavaScript nesnelerini salt okunur yapan bir düzeltme yayımlandı; ancak küresel JavaScript değişkenlerinin kullanımı önerilmez çünkü içerikleri sızdırılabilir.
Bir Zabbix yöneticisi, 'Visible name' alanına kötü amaçlı SQL yerleştirerek ana bilgisayarların otomatik kaldırılması sırasında rastgele SQL enjeksiyonu gerçekleştirebilir.
Google, Pixel Cellular Modem'de CVE-2026-58704 kimlikli yüksek öncelikli bir yetki yükseltme açığını kapattı. NIST kayıtları hatanın bir iş mantığı so...
Sızan kimlik bilgileri veya açıklanan zafiyetler, saldırganlar tarafından hedefe hızlı saldırı düzenlemek için kullanılabiliyor; yapay zekâ destekli y...
Acronis, Linux için Acronis Backup plugin for cPanel & WHM'de CVE-2026-87886 (CVSS 7.8) kimliğindeki yerel ayrıcalık yükseltme açığının hedefli saldır...
Takip ettiğiniz platformlarda çıkan güvenlik açıkları ve sürüm duyuruları her sabah tek e-postada. Hangi platformları izleyeceğinizi siz seçersiniz, istediğiniz an bırakırsınız.
Zaten abone misiniz? Tercihlerinizi yönetin