- Yama var
- Son 7 gün
- CWE-89
CVE-2025-71434
Weaver E-cology'de kimlik doğrulaması gerektirmeyen SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Weaver E-cology 8.0, 9.0 ve 10.0 sürümlerinde, 10.76 öncesi sürümler, /api/doc/out/more/list uç noktasında elementmore parametresi ve srcType=2 ile kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu açığı içermektedir. Saldırganlar doc_datefrom/doc_dateto alanları üzerinden SQL enjekte edebilir ve sonuçları /api/ec/dev/table/counts üzerinden okuyarak veritabanı bilgilerini çıkarabilir. Bu açığın sömürüldüğüne dair ilk kanıt 2026-07-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Weaver E-cology 8.0, 9.0, and 10.0 prior to 10.76 contains an unauthenticated SQL injection vulnerability in the /api/doc/out/more/list endpoint via the elementmore parameter with srcType=2. Attackers can inject SQL through doc_datefrom/doc_dateto fields and read results via /api/ec/dev/table/counts to extract database information. Exploitation evidence was first observed by the Shadowserver Foundation on 2026-07-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Weaver Network Co., Ltd. E-cology | < 10.76 | 10.76 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- weaver.com.cn/…security/edm20250704_opiurutjvmopimdwytdc.html Yama
- vulncheck.com/…henticated-sql-injection-via-doc-out-more-list Üçüncü taraf
- y4tacker.github.io/…%E5%A4%8D%E7%8E%B0Weaver-SQL%E6%B3%A8%E5%85%A5 İstismar kodu ya da analiz
- 1diot9.github.io/…E5%BE%AEe9%E5%88%86%E6%9E%90%E6%80%9D%E8%B7%AF İstismar kodu ya da analiz
- github.com/…ties/weaver/weaver-ecology9-doc-list-sqli.yaml Diğer
- blog.csdn.net/murphysec/article/details/149236904 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.