- Aktif istismar
- CWE-89
CVE-2020-17463
Fuel CMS'te SQL enjeksiyonu: col parametresi üzerinden kimlik doğrulamasız saldırı
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2267 gün
- Kaydı açan
- mitre
Yönetici özeti
Fuel CMS ile çalışan web siteniz, giriş yapmadan internetten gönderilen özel hazırlanmış isteklerle veritabanına müdahale edilmesine açıktır. Zafiyet aktif olarak istismar edildiği için müşteri verilerinin çalınması veya sitenin bozulması riski yüksektir. Güncelleme ve önlemler gecikmeden uygulanmalıdır.
ÖzetTürkçe
FUEL CMS 1.4.7 sürümünde, /pages/items, /permissions/items ve /navigation/items yollarına gönderilen col parametresi yeterince denetlenmediği için SQL enjeksiyonuna yol açmaktadır. Saldırı ağ üzerinden, kimlik doğrulaması ve kullanıcı etkileşimi gerektirmeden yapılabilir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer almaktadır ve Fuel CMS kullanan tüm siteler risk altındadır.
Saldırgan ne yapabilir?
Saldırgan veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir; bu da sitenin gizlilik, bütünlük ve erişilebilirlik açısından tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
FUEL CMS 1.4.7 allows SQL Injection via the col parameter to /pages/items, /permissions/items, or /navigation/items.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Üretici talimatlarına uygun olarak Fuel CMS için yayımlanan güncellemeyi uygulayın; 1.4.7 sürümünü çalıştırmaya devam etmeyin. Genel öneri
- CISA KEV gereği: Güncellemeleri üretici talimatlarına göre uygulayın. CISA
- Güncelleme hemen yapılamıyorsa /pages/items, /permissions/items ve /navigation/items yollarına erişimi güvenlik duvarı veya web uygulaması güvenlik duvarı (WAF) ile kısıtlayın ya da col parametresindeki şüpheli girdileri engelleyin. Genel öneri
- Sistemin zaten istismar edilmiş olabileceğini varsayarak web sunucusu ve veritabanı günlüklerini inceleyin, yönetici hesaplarını ve veritabanı içeriğini kontrol edin. Genel öneri
Ek önlemler
- Fuel CMS yönetim paneline erişimi IP kısıtlaması veya VPN ile sınırlandırın. Genel öneri
- Veritabanı kullanıcısına yalnızca uygulamanın ihtiyaç duyduğu asgari yetkileri verin. Genel öneri
- Yukarıdaki yollara yönelik olağandışı col parametresi içeren istekler için günlük izleme ve uyarı kuralları oluşturun. Genel öneri
- Düzenli ve test edilmiş yedekler alın; yedekleri üretim sisteminden ayrı tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fuel CMS | Sürüm belirtilmemiş | – |
Kaynaklar7 kaynak
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.