Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • CWE-94

CVE-2020-8644

PlaySMS'te sunucu tarafı şablon enjeksiyonu (SSTI) zafiyeti

PlaySMS

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
22 Eki 2025
Açık yaşı
2456 gün
Kaydı açan
mitre
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 3 Kas 2021 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 3 May 2022.

Yönetici özeti

PlaySMS'in eski sürümleri, internetten gelen kötü niyetli bir istekle ele geçirilebiliyor ve zafiyet halihazırda saldırılarda kullanılıyor. Başarılı bir saldırı, SMS altyapısının ve üzerindeki verilerin kontrolünün kaybına yol açabilir. Güncelleme gecikmeden yapılmalıdır.

ÖzetTürkçe

PlaySMS 1.4.3 öncesi sürümler, kötü amaçlı hazırlanmış bir dizedeki girdileri yeterince temizlemiyor. Bu durum sunucu tarafında şablon enjeksiyonuna ve kod enjeksiyonuna (CWE-94) yol açıyor. Kimlik doğrulama veya kullanıcı etkileşimi gerekmeden ağ üzerinden istismar edilebiliyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.

Saldırgan ne yapabilir?

Saldırgan, hedef sunucuda kendi kodunu çalıştırarak sistemin gizlilik, bütünlük ve erişilebilirliği üzerinde tam kontrol elde edebilir.

Kaynaktaki açıklama (İngilizce)

PlaySMS before 1.4.3 does not sanitize inputs from a malicious string.

CISA'nın önerdiği eylem (İngilizce)

Apply updates per vendor instructions.

Ne yapmalı?

  1. PlaySMS'i 1.4.3 veya daha yeni bir sürüme güncelleyin. Genel öneri
  2. CISA'nın gerekli eylemi doğrultusunda güncellemeleri üreticinin talimatlarına göre uygulayın. CISA
  3. Güncelleme hemen yapılamıyorsa PlaySMS yönetim ve uygulama arayüzüne erişimi güvenilir IP adresleriyle sınırlayın veya internete açık erişimi geçici olarak kapatın. Genel öneri
  4. Güncelleme sonrası sunucuda olağandışı süreçler, yeni kullanıcılar veya değiştirilmiş dosyalar olup olmadığını kontrol edin. Genel öneri

Ek önlemler

  • PlaySMS'i mümkünse doğrudan internete açmayın; ters vekil sunucu, VPN veya güvenlik duvarı arkasında çalıştırın. Genel öneri
  • Web sunucusu ve uygulama günlüklerini şüpheli istekler ve beklenmedik komut çalıştırma izleri açısından izleyin. Genel öneri
  • Uygulamayı en az yetkiye sahip bir sistem kullanıcısıyla çalıştırın ve veritabanı ile API anahtarlarını ihlal şüphesinde yenileyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
PlaySMS Sürüm belirtilmemiş –

Kaynaklar6 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.