Biletiva bilet platformunda yetkilendirme açığı kapatıldı

Siber Güvenlik Başkanlığı, Divasoft Yazılım ve Elektronik Ticaret’in geliştirdiği Biletiva Bilet Platformu’nda bir güvenlik açığı bulunduğunu 13 Ekim’de bildirdi. Biletiva, etkinlik ve bilet satışı için kullanılan yerli bir platform. CVE-2026-13138 numaralı açığın CVSS puanı 8.6.

Açığın türü, CVE kaydında CWE-602 olarak sınıflandırılmış: sunucu tarafında yapılması gereken güvenlik denetiminin istemci tarafında (kullanıcının tarayıcısında ya da uygulamasında) yapılması. Bu tür açıklarda sorun şu: sunucu, istemciden gelen veriye güvendiği için, kullanıcı kendi tarafındaki denetimi atlatıp sunucuya olduğundan farklı bir istek gönderebiliyor. CVE kaydındaki vektör, açığın uzaktan ve giriş gerektirmeden kullanılabildiğini ve esas olarak verinin bütünlüğünü etkilediğini (durum manipülasyonu) gösteriyor.

Bununla birlikte, ne Siber Güvenlik Başkanlığı’nın bildiriminde ne de CVE kaydında açığın somut olarak ne yaptığına dair bir ayrıntı var. Yani saldırganın bu açıkla tam olarak neyi değiştirebildiği (örneğin bilet bilgileri, sipariş durumu ya da başka bir veri) kamuya açıklanmadı. Açığın saldırılarda kullanıldığına dair de bir bilgi yok. Bu yüzden burada açığın kesin etkisini aktaramıyoruz, yalnızca türünü ve derecesini belirtebiliyoruz.

Önerilen önlemler

Siber Güvenlik Başkanlığı, platformun en az 23 Temmuz 2026 tarihli sürüme ya da daha yenisine yükseltilmesini öneriyor. Biletiva’yı kullanan kurumların bu güncellemeyi uygulaması gerekiyor. Açığı Umut Kayra Doğan adlı araştırmacı bildirdi.