- Yama var
- Son 7 gün
- CWE-22
CVE-2018-25439
MetInfo CMS thumb.php dir parametresinde kimlik doğrulamasız dizin geçişi
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
MetInfo CMS 6.0.0 ile 6.1.1 öncesi sürümler, /include/thumb.php dosyasında dizin geçişi (path traversal) güvenlik açığı içermektedir. Bu açık, kimlik doğrulaması yapılmadan dir parametresi üzerinden saldırganların rastgele dosyaları okumasına olanak tanımaktadır. Saldırganlar, str_replace filtresini atlatan ters eğik çizgi (backslash) dizileri içeren özel hazırlanmış istekler göndererek Windows sistemlerde config_db.php gibi dosyaları okuyabilmektedir. Bu güvenlik açığının istismar edildiğine dair ilk kanıt, 2023-10-14 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
MetInfo CMS 6.0.0 before 6.1.1 contains a path traversal vulnerability in /include/thumb.php that allows unauthenticated attackers to read arbitrary files via the dir parameter. Attackers can send crafted requests with backslash sequences bypassing the str_replace filter to read files like config_db.php on Windows. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-14.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MetInfo | ≥ 6.0.0, < 6.1.1 | 6.1.1 |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…ted-path-traversal-via-thumb-php-dir-parameter Üçüncü taraf
- web.archive.org/web/20190916061234/https://paper.seebug.org/676 İstismar kodu ya da analiz
- github.com/…in/http/vulnerabilities/other/metinfo-lfi.yaml Diğer
- metinfo.cn Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.