- Son 7 gün
- CWE-434
CVE-2014-125138
C97net qEngine CMS, Kemana Directory ve Cart Engine'de kısıtlanmamış dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yetkili bir içerik editörünün hesabını sunucu üzerinde kontrol sahibi olmak için kullanılabilecek bir kapıya dönüştürebilir. Sitenin tamamının ele geçirilmesi, müşteri verilerinin sızması ve iş sürekliliğinin kesilmesi gibi ciddi iş riskleri doğurabilir. Kullandığınız sürüm etkileniyorsa öncelikle güncelleme veya geçici önlem almanız acil olarak önerilir.
ÖzetTürkçe
C97net qEngine CMS (6.0.0 ve öncesi), Kemana Directory (1.5.6 ve öncesi) ve Cart Engine (3.0.0 ve öncesi) yönetim paneldeki resim alanlarında dosya türü kontrolü yapılmadan dosya yüklemeye izin vermektedir. Editör rolüne sahip kullanıcılar page_image veya cat_image parametreleri üzerinden PHP betiği yükleyebilmekte ve bu dosyaları web'den erişilebilen /public/image dizinine yerleştirebilmektedir. Bu etkilenen sürümleri kullanan siteler için risk oluşturmaktadır.
Saldırgan ne yapabilir?
Saldırgan, editör yetkisine sahip bir hesapla yüklediği PHP betiğini tarayıcıdan çağırarak sunucuda kod çalıştırabilir; bu da sunucunun ve üzerindeki verilerin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
C97net qEngine CMS through 6.0.0, Kemana Directory through 1.5.6, and Cart Engine through 3.0.0 contain an unrestricted file upload vulnerability in administrative image fields. Editor-role users can upload PHP scripts via the page_image or cat_image parameters to the web-accessible /public/image directory and request them to execute code on the server.
Ne yapmalı?
- Etkilenen ürünlerin (qEngine CMS, Kemana Directory, Cart Engine) kullandığınız sürümünü belirleyin ve tedarikçinin yayımladığı düzeltilmiş bir sürüm mevcutsa hemen güncelleyin. Tedarikçi bu kayıt için bir düzeltme sürümü belirtmemiştir; bu nedenle tedarikçi ile iletişime geçmeniz önerilir. Genel öneri
- Güncelleme yapılamıyorsa, resim alanlarında yalnızca güvenilir kullanıcılara editör yetkisi verin ve yetkisiz hesapları derhal devre dışı bırakın. Genel öneri
- /public/image dizinine yüklenmiş PHP veya diğer çalıştırılabilir uzantılı dosyaları kontrol edin; şüpheli dosyaları inceleyip kaldırın. Genel öneri
- Web sunucusunun bu dizinde betik çalıştırmasını engelleyecek şekilde yapılandırın ve yüklenen dosyaları yalnızca beklenen resim türleriyle sınırlayın. Genel öneri
Ek önlemler
- Editör hesaplarında güçlü parola ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Yükleme dizinindeki yeni dosyaları ve beklenmeyen betik dosyalarını düzenli olarak izleyin. Genel öneri
- Sunucu erişim günlüklerinde /public/image altındaki şüpheli isteklerin izlenmesini sağlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| C97net Cart Engine | ≤ 3.0.0 | – |
| C97net Kemana Directory | ≤ 1.5.6 | – |
| C97net qEngine CMS | ≤ 6.0.0 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- zeroscience.mk/advisories/ZSL-2014-5174.html Üçüncü taraf
- zeroscience.mk/advisories/ZSL-2014-5178.html Üçüncü taraf
- zeroscience.mk/advisories/ZSL-2014-5182.html Üçüncü taraf
- vulncheck.com/….0.0-unrestricted-file-upload-via-image-fields Üçüncü taraf
- exploit-db.com/exploits/32511 İstismar kodu ya da analiz
- exploit-db.com/exploits/32507 İstismar kodu ya da analiz
- exploit-db.com/exploits/32503 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.