Giriş
Grist-Core, açık kaynaklı ve kendi kendine barındırılan bir veritabanı tablo uygulamasında ciddi bir güvenlik açığı tespit edilmiştir. Bu açıklık, uzaktan kod yürütmeye (RCE) yol açabilme potansiyeline sahip olması nedeniyle dikkate değer bir tehdit oluşturmaktadır.
Saldırı Nasıl Çalışıyor?
Güvenlik araştırmacısı Vladimir Tokarev tarafından keşfedilen bu açık, CVE-2026-24002 koduyla izlenmektedir ve Cellbreak olarak adlandırılmaktadır. Açıklığın oluşturduğu tehdit, bir kötü amaçlı formülün, bir tabloyu uzaktan kod yürütme (RCE) tabanına dönüştürebilmesidir. Güvenlik araştırmaları, bu tür bir “sandbox kaçışının”, formül yazarlara işletim sistemi komutları yürütme veya ana makinede JavaScript kodu çalıştırma olanağı sağladığını göstermektedir.
Etkilenen Sistemler
Güvenlik açığı, Pyodide sandbox kaçışı kategorisine girmekte ve bu tür bir açık, daha önce n8n platformunda da tespit edilmiştir (CVE-2025-68668, CVSS skoru: 9.9, N8scape olarak bilinir). Grist-Core, bu açık için 1.7.9 sürümünü 9 Ocak 2026 tarihinde yayınlamıştır.
Çözüm ve Korunma
Grist projesinin geliştiricileri, sorunları çözmek için Pyodide formül yürütmesini varsayılan olarak Deno JavaScript çalışma zamanına taşımıştır. Ancak, GRIST_PYODIDE_SKIP_DENO değişkeni “1” olarak ayarlandığında risk yeniden ortaya çıkmaktadır. Bu ayarın, güvenilmeyen veya yarı güvenilir formüller çalıştırılacaksa kaçınılması gereken bir opsiyon olduğu belirtilmiştir. Kullanıcıların aşağıdaki adımları takip etmesi önerilmektedir:
- Grist platformunuzu en son sürüme güncelleyin.
- Geçici bir çözüm olarak GRIST_SANDBOX_FLAVOR ortam değişkenini “gvisor” olarak ayarlayın.
- Sunucu üzerindeki kullanıcı izinlerini ve güvenlik ayarlarını gözden geçirin.
Grist, güvenlik açığına neden olan sorunların sadece bir hata olmadığını, aynı zamanda veri güvenliği ihlallerine yol açabilecek önemli riskler taşıdığını vurgulamaktadır.
Sonuç olarak, kullanıcıların platformlarını güncellemeleri ve güvenlik önlemlerini artırmaları kritik önem taşımaktadır. Unutulmamalıdır ki, bir güvenlik açığı ile birlikte tüm organizasyona yönelik güven sınırları tehdit altına girebilir.
