# Güvenlik araştırması

> Kullandığım yazılımlarda açık bulunca üreticiye haber veriyorum. Düzeltme yayınlandıktan sonra burada paylaşıyorum.

URL: https://iamcanturk.dev/guvenlik/

---

### CVE-2026-28403 — WebSocket Origin doğrulaması eksikliği (Cross-Site WebSocket Hijacking)
CVSS 7.6 (YÜKSEK) · Textream (macOS) < 1.5.1 · Mart 2026
Textream'in yerel WebSocket sunucusu Origin başlığını doğrulamıyordu. Kullanıcının ziyaret ettiği kötü niyetli bir web sayfası sunucuya sessizce bağlanıp komut gönderebiliyordu.

### CVE-2026-28412 — Bağlantı limiti olmaması kaynaklı kaynak tüketimi (DoS)
CVSS 6.5 (ORTA) · Textream (macOS) < 1.5.1 · Mart 2026
Textream'in WebSocket sunucusu eşzamanlı bağlantı sayısını sınırlamıyordu. Bağlantı seliyle işlemci ve bellek tüketilip uygulama canlı yayın sırasında kilitlenebiliyordu.

## Nasıl çalışıyorum?

- **Bulgu:** Kendi kullandığım yazılımları inceliyorum. Açık bulduğumda kavram kanıtıyla doğruluyorum, kimsenin verisine dokunmuyorum.

- **Bildirim:** Üreticiye özel kanaldan, adımlarıyla birlikte haber veriyorum.

- **Düzeltme:** Yama yayınlanana kadar ayrıntıları paylaşmıyorum.

- **Yayın:** Düzeltme çıktıktan sonra CVE kaydı ve buradaki özet yayınlanıyor.