SuperTokens Core'da 27 açık: CVSS 9.9'luk tenant devralma, SAML imza sarmalama ve 9 Kasım'da 19 yeni bülten
Açık kaynak kimlik doğrulama sunucusu SuperTokens Core için Ekim'de yayımlanan sekiz bültenin CVE kayıtları 9 Kasım'da NVD'ye düştü; en ağırı CVSS 9.9. Proje aynı gün 19 yeni bülten daha yayımladı ve bütün desteklenen sürüm hatları için yeni patch'ler çıktı. İstismar bildirimi yok.
CVE-2026-123800, CVE-2026-123798, CVE-2026-123802
SuperTokens Core, uygulamaların oturum açma, oturum yönetimi ve çok faktörlü doğrulama işini devrettiği açık kaynak bir kimlik doğrulama sunucusu. Projenin 16 Ekim'de GitHub üzerinden yayımladığı sekiz güvenlik bülteni 9 Kasım'da CVE kimliği aldı ve NVD'ye işlendi. Aynı gün proje 19 bülten daha yayımladı. Böylece kısa sürede 27 bültenlik bir yığın oluştu. SuperTokens'ı kendi altyapısında çalıştıran ekiplerin sürüm kontrolü yapması gerekiyor.
En ağır açık CVE-2026-123800 (CVSS 9.9). Bülten açığın koşulunu açıkça tanımlıyor: Lisanslı, çok tenant'lı bir kurulumda, aynı connection URI domain altında ayrı API anahtarlarıyla birden fazla uygulama çalışıyor olmalı. Bu düzende, tek bir uygulamanın geçerli API anahtarını elinde tutan biri üst domain'in ayarlarını değiştirebiliyordu. Bülten bunun sonuçlarını kardeş uygulamaların API anahtarlarının değiştirilmesi, o uygulamaların kullanıcılarının okunup değiştirilmesi ve bu kullanıcılar adına oturum alınması olarak sıralıyor. Tek tenant'lı, varsayılan kurulumlar bu senaryonun dışında kalıyor.
Ekim bültenlerinin geri kalanı ağırlıkla kurumsal giriş akışlarıyla ilgili. CVE-2026-123798 (8.1), SAML'de XML Signature Wrapping yoluyla bir IdP kullanıcısının başka bir kullanıcı olarak oturum açabilmesine yol açıyordu. CVE-2026-123802 (8.1) ise kimliğin audience kontrolünden geçmemiş bir assertion'dan alınmasıyla ilgili. CVE-2026-123803 (8.1) passkey'in tenant sınırları dışında kabul edilmesini, CVE-2026-123797 (7.5) bilinmeyen bir tenant yolunun API anahtarı kontrolünü atlamasını kapsıyor. CVE-2026-123799 (7.4) ise dashboard oturumlarının süresi dolsa da geçerli sayılmasını anlatıyor.
9 Kasım'daki 19 bültenin henüz CVE kimliği yok. En yüksek puanlı olanlar şunlar: OAuth2 login ve consent uç noktalarında uygulamalar arası kimliğe bürünme (GHSA-m734-pwcf-jp9x, 8.4) ve tenant listesi yenilenirken API anahtarı ile IP kontrollerinin atlanması (GHSA-rg6v-28j6-7rj9, 8.1). Bunların yanında dashboard'un veritabanı parolasını her dashboard kullanıcısına döndürmesi (GHSA-wqq3-fv92-4r77, 7.7) ve Java agent ile çalışırken OpenTelemetry span'lerine veritabanı kimlik bilgilerinin yazılması (GHSA-gwhx-68r6-qm37, 7.7) var. Listede TOTP tekrar koruması ile SAML replay korumasının atlanması da yer alıyor. Bültenlerin hiçbiri saldırılarda kullanıldığını bildirmiyor; CISA KEV kaydı yok.
Etkilenen ve düzeltilmiş sürümler
| Sürüm hattı | Ekim bültenleri (CVE-2026-123800 düzeltmesi) | 9 Kasım bültenleri (en güncel düzeltme) |
|---|---|---|
| 6.0.x | 6.0.24 | 6.0.25 |
| 7.0.x | 7.0.23 | Üretici bildirimindeki liste |
| 8.0.x | 8.0.7 | 8.0.8 |
| 9.0.x / 9.1.x / 9.2.x / 9.3.x | 9.0.6 / 9.1.6 / 9.2.7 / 9.3.5 | 9.0.7 / 9.1.7 / 9.2.8 / 9.3.6 |
| 10.0.x / 10.1.x | 10.0.8 / 10.1.9 | 10.0.9 / 10.1.10 |
| 11.0.x – 11.4.x | 11.0.9 / 11.1.4 / 11.2.4 / 11.3.8 / 11.4.8 | 11.0.10 / 11.1.5 / 11.2.5 / 11.3.9 / 11.4.9 |
| 12.0.x – 12.4.x | 12.0.11 / 12.1.2 / 12.2.1 / 12.3.1 | 12.0.12 / 12.1.3 / 12.2.2 / 12.3.2 / 12.4.2 |
Tablodaki 9 Kasım sütunu GHSA-rg6v-28j6-7rj9'daki düzeltilmiş sürümleri gösteriyor. Diğer bültenlerin etkilediği hatlar bazen daha dar: örneğin OpenTelemetry açığı 11.2 ve sonrasını, bulk import açığı 10.0 ve sonrasını etkiliyor. Bulk import açığının 10.x hattı için bültende düzeltilmiş sürüm yok. Her bültenin kendi sürüm aralığı için üretici sayfasına bakılmalı.
Beni etkiliyor mu?
- SuperTokens Core'u kendi sunucunuzda ya da container olarak çalıştırıyorsanız kapsamdasınız. Çalışan imajın etiketi sürümü gösterir:
docker ps --format '{{.Image}}' | grep -i supertokens
kubectl get pods -A -o jsonpath='{range .items[*]}{.spec.containers[*].image}{"\n"}{end}' | grep -i supertokens- CVSS 9.9'luk açık yalnızca lisanslı multi-tenancy özelliğini kullanan ve aynı connection URI domain altında birden fazla uygulama barındıran kurulumları etkiliyor. SAML, WebAuthn, TOTP ve OAuth2 açıkları ise ilgili özelliği açık olan kurulumları ilgilendiriyor.
- Yönetilen SuperTokens hizmetini kullananlar için bültenler ayrı bir bilgi vermiyor; durum üreticiden teyit edilmeli.
Ne yapılmalı?
- Kullandığınız sürüm hattında 9 Kasım bültenlerindeki en güncel sürüme geçin (ör. 12.4.x için 12.4.2). Bu sürümler Ekim düzeltmelerini de içeriyor.
- Multi-tenant kurulumlarda uygulamalar için tanımlı API anahtarlarını ve üst domain ayarlarını gözden geçirin; beklenmeyen değişiklik görürseniz anahtarları yenileyin.
- Dashboard kullanıcı listesini kontrol edin. Tanımadığınız ya da yakın zamanda eklenmiş hesapları inceleyin.
- OpenTelemetry Java agent ile çalışıyorsanız telemetri arka ucundaki span kayıtlarında kimlik bilgisi olup olmadığını kontrol edin; varsa veritabanı parolasını değiştirin.
- Core'un API portunu yalnızca arka uç uygulamalarınızın erişebileceği bir ağda tutun; internetten doğrudan erişimi kapatın.
