- Son 7 gün
- CWE-98
CVE-2014-125137
C97net qEngine CMS, Kemana Directory ve Cart Engine'de admin/task.php üzerinden yerel dosya ekleme (LFI)
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yönetici hesabına sahip birinin sistemdeki gizli bilgilere erişmesine olanak tanıyabilir. Etkilenen ürünler yaygın kullanılan web yazılımları olduğundan, bu durum müşteri ve işletme verilerinin sızması riskini artırır. Ürünlerin güncel sürümlerinin kullanılıp kullanılmadığının hızla kontrol edilmesi önerilir.
ÖzetTürkçe
C97net qEngine CMS (6.0.0 ve öncesi), Kemana Directory (1.5.6 ve öncesi) ve Cart Engine (3.0.0 ve öncesi) ürünlerinde, admin/task.php dosyasındaki run parametresi yerel dosya ekleme açığı içermektedir. Kimliği doğrulanmış yöneticiler, run parametresine dizin gezinme dizileri ekleyerek web sunucusunun okuyabildiği yerel dosyaları dahil edip görüntüleyebilir.
Saldırgan ne yapabilir?
Saldırgan, yönetici yetkisine sahip bir hesap üzerinden web sunucusundaki yapılandırma dosyaları gibi hassas yerel dosyaları okuyabilir. Bu, veritabanı bilgileri ve sistem ayrıntılarının ifşa olmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
C97net qEngine CMS through 6.0.0, Kemana Directory through 1.5.6, and Cart Engine through 3.0.0 contain a local file inclusion vulnerability in the run parameter of admin/task.php. Authenticated administrators can supply directory traversal sequences in the run parameter to include and disclose local files readable by the web server.
Ne yapmalı?
- Veri tabanında bu ürünlerin etkilenen sürümleri (qEngine CMS 6.0.0 ve öncesi, Kemana Directory 1.5.6 ve öncesi, Cart Engine 3.0.0 ve öncesi) için satıcı tarafından yayımlanmış bir düzeltme bilgisi bulunmamaktadır; satıcının resmi güncellemelerini kontrol edin. Genel öneri
- Yönetici paneli erişimini yalnızca güvenilir IP adresleriyle sınırlandırın ve yönetici hesaplarının parolalarını güçlendirin. Genel öneri
- Yönetici hesaplarını gözden geçirin, kullanılmayan veya gereksiz yönetici hesaplarını kaldırın. Genel öneri
- Web sunucusunun okuyabildiği hassas dosyaların izinlerini kısıtlayın, uygulamanın erişmesi gerekmeyen dosyaları ayrı tutun. Genel öneri
Ek önlemler
- admin/task.php dosyasına yönelik isteklerde run parametresinde dizin gezinme dizileri (örneğin ../) içeren girişleri izleyin ve günlük kayıtlarını düzenli inceleyin. Genel öneri
- Yönetici paneli için çok faktörlü kimlik doğrulama kullanmayı değerlendirin. Genel öneri
- Kullanılmayan web uygulamalarını ve eski CMS kurulumlarını sunucudan kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| C97net Cart Engine | ≤ 3.0.0 | – |
| C97net Kemana Directory | ≤ 1.5.6 | – |
| C97net qEngine CMS | ≤ 6.0.0 | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- zeroscience.mk/advisories/ZSL-2014-5173.html Üçüncü taraf
- zeroscience.mk/advisories/ZSL-2014-5177.html Üçüncü taraf
- zeroscience.mk/advisories/ZSL-2014-5181.html Üçüncü taraf
- vulncheck.com/…-3.0.0-local-file-inclusion-via-admin-task-php Üçüncü taraf
- exploit-db.com/exploits/32511 İstismar kodu ya da analiz
- exploit-db.com/exploits/39129 İstismar kodu ya da analiz
- exploit-db.com/exploits/32508 İstismar kodu ya da analiz
- exploit-db.com/exploits/32504 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.