Avalonia güvenlik olayı: CMS'e yetkisiz erişim, paketler ve müşteri verisi etkilenmedi
Avalonia, 22-23 Ekim 2026 tarihli saldırıda yetkisiz erişimin yalnızca web sitesinin içerik yönetim sistemiyle (CMS) sınırlı kaldığını açıkladı. Sızıntının kaynağı, tarayıcıya giden JavaScript'e yanlışlıkla gömülen bir yönetici token'ıydı. NuGet yayın denemeleri reddedildi ve müşterilerin bir işlem yapması gerekmiyor.
Kilit noktalar
- Yetkisiz erişim yalnızca pazarlama sitesinin CMS'iyle sınırlı kaldı; müşteri portalı ve lisanslama sistemleri etkilenmedi.
- 39 NuGet yayın denemesinin tamamı reddedildi; paket manipülasyonu tespit edilmedi.
- Kaynak kodu, ortam değişkenlerini istemci tarafı koda gömen bir yapılandırmadan sızdı; benzer bir yapılandırma hatasını kendi projelerinizde kontrol edin.
- Müşterilerin portal şifresini sıfırlaması, lisans anahtarını değiştirmesi veya paketleri yeniden kurması gerekmiyor.
- Saldırıda Tor, kiralık bulut sunucuları ve tek kullanımlık e-posta hesapları kullanıldı; IP engellemeleri tek başına yeterli olmadı.
Avalonia, 22 Ekim 2026'da başlayan ve birden fazla servisini hedef alan yetkisiz saldırının pazarlama web sitesinin CMS'ine sızdığını doğruladı. Saldırgan, bir CMS yönetici token'ını kullanarak içeriğe erişti. Token, bir yapılandırma hatası nedeniyle ortam değişkeninden JavaScript'e gömülmüştü. Şirket token'ı iptal etti, siteyi yeniden yayınladı ve CMS izinlerini daralttı.
Şirket, müşteri portalı kayıtları, ödeme bilgileri, lisans anahtarları ve kaynak kodunun etkilenmediğini belirtiyor. NuGet feed'lerine yapılan 39 yayın denemesi reddedildi ve paket manipülasyonuna dair bulgu yok. Bu nedenle portal şifrelerinin sıfırlanması, lisans anahtarlarının yenilenmesi ya da paketlerin yeniden kurulması gerekmiyor. Soruşturma sürüyor; değerlendirme değişirse yazı güncellenecek.
Gerçek dünyada kullanımı
- Avalonia NuGet paketlerini kullanan bir masaüstü uygulama ekibinin paket kaynaklarını ve bağımlılıklarını gözden geçirmesi.
- Web sitesine CMS veya yönetim paneli bağlayan bir ekibin, yönetici token'larının istemci koduna sızmadığını doğrulaması.
- Lisanslı Avalonia kullanan bir kurumun, güvenlik olayı sonrası hesap ve lisans durumunu kontrol etmesi.
Neden önemli
Avalonia'yı kullanan geliştiriciler için paketlerde ya da lisanslarda işlem gerekmiyor. Asıl ders, sunucuya ait bir gizli bilginin istemci tarafı koduna girebileceği; build ve ortam değişkeni yapılandırmalarının bu açıdan gözden geçirilmesi gerektiği.