Tryton'da Kritik Güvenlik Açığı: Wizard Kontrolleri Eksik

Tryton ERP sisteminde ciddi bir güvenlik açığı bulundu. Sorunu keşfeden Clément Mercier, wizard fonksiyonlarının (otomatik işlem araçları) herhangi bir model veya grup kısıtlaması olmadan çalışabildiğini ortaya koymak için Claude'dan yararlanmış.

Açığın tehdit seviyesi CVSS v3.0 ölçeğinde 8.1 olarak hesaplanmış; bu kritik kategoriye giriyor. Ağ üzerinden saldırı mümkün, düşük ayrıcalık yeterli ve kullanıcı etkileşimi gerekmiyor. Gizlilik ve veri bütünlüğü yüksek oranda risk altında.

Hemen yapılması gereken iki adım var. Birincisi, trytond'u en son sürüme güncellemek. İkincisi, sistem üzerinde istenmeyen kullanıcı hesabı olmadığından emin olmak. Geçici çözüm olarak, yönetim panelinden (Administration > User Interface > Actions > Wizards) etkilenen wizard'lara en az bir grup atanması gerekiyor. Güncelleme sonrasında da bu işlem tekrarlanmalı.

Etkilenen sürümler: trytond 8.2 ve öncesi, 7.0.60 ve öncesi. Güvenlik sorunlarını raporlamak için resmi hata takip sistemini kullanmalısın ve gizli işaretlemesini aktif etmelisin.