Fileorbis'teki HTML enjeksiyonu açığı 12.5.4 sürümünde kapatıldı

Siber Güvenlik Başkanlığı, 5 Kasım’da yayımladığı TR-26-1468 numaralı bildirimde, Fileorbis Bilişim Hizmetleri Ticaret A.Ş.’nin geliştirdiği Fileorbis ürününde bir güvenlik açığı tespit edildiğini duyurdu. Başkanlığa göre bu açık nedeniyle siber saldırganların saldırı gerçekleştirmesi ihtimal dahilinde. Açık CVE-2026-76563 numarasıyla izleniyor. Ürünün ne işe yaradığı bildirimde ve CVE kaydında belirtilmiyor.

Açık

CVE kaydına göre açık, bir web sayfasındaki betikle ilgili HTML etiketlerinin yeterince etkisizleştirilmemesinden kaynaklanan basit bir siteler arası betik çalıştırma (XSS) açığı. Kaydın başlığında HTML injection olarak geçiyor, CWE sınıfı CWE-80. Kaydı TR-CERT yayımladı ve açığı bulan kişi olarak Merve Hatice Arslan gösteriliyor.

Açığın CVE kaydındaki CVSS 3.1 puanı 6.1, yani orta önemde. Puanlamaya göre açık ağ üzerinden ve giriş yapmadan kullanılabiliyor, ancak bir kullanıcının etkileşimi gerekiyor. Etkisi açığın bulunduğu bileşenin dışına taşabiliyor, gizliliğe ve bütünlüğe etkisi düşük, erişilebilirliğe etkisi yok. Kayıtta açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kaydına göre açık Fileorbis’in 12.5.4 öncesi sürümlerini etkiliyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 12.5.4 sürümüne ya da sonrasına yükseltilmesini öneriyor.