Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2025-71456

VTENEXT Fax EditView modülünde fieldname parametresi üzerinden SQL enjeksiyonu

vtenext

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sisteme giriş yapabilen düşük yetkili bir kullanıcının veritabanındaki tüm bilgilere ulaşmasına ve diğer kullanıcıların hesaplarını devralmasına olanak tanıyabilir. Müşteri ve çalışan verilerinin sızması ile yasal ve itibar riskleri doğurabileceği için öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

VTENEXT'in 25.02.2 sürümünden önceki sürümlerinde, modules/Fax/EditView.php dosyasına gönderilen özel hazırlanmış fieldname parametresi SQL enjeksiyonuna yol açmaktadır. Saldırı için sistemde kimliği doğrulanmış, düşük yetkili bir kullanıcı hesabı yeterlidir. Etkilenen kurulumlar 25.02.2 öncesi tüm sürümleridir.

Saldırgan ne yapabilir?

Saldırgan veritabanındaki verileri okuyabilir; bu kapsamda vte_userauthtoken tablosundaki parola sıfırlama belirteçlerine erişerek diğer kullanıcı hesaplarını ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

vtenext before 25.02.2 contains an SQL injection vulnerability that allows authenticated low-privileged users to inject SQL by supplying a crafted fieldname parameter to modules/Fax/EditView.php. Attackers can read arbitrary database contents, including password reset tokens stored in vte_userauthtoken, to take over other user accounts.

Ne yapmalı?

  1. VTENEXT ürününü 25.02.2 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde, düşük yetkili kullanıcı hesaplarını gözden geçirin ve gereksiz hesapları devre dışı bırakın. Genel öneri
  3. Güncelleme tamamlanana kadar parola sıfırlama belirteçlerinin geçerlilik sürelerini kısaltın ve kullanılmış belirteçleri temizleyin. Genel öneri
  4. Olası istismar izlerini görmek için web sunucusu ve uygulama kayıtlarında Fax modülüne yapılan şüpheli istekleri inceleyin. Genel öneri

Ek önlemler

  • Veritabanı kullanıcısına yalnızca gerekli en düşük yetkileri verin. Genel öneri
  • Parola sıfırlama ve oturum belirteçlerinin beklenmedik kullanımını izleyin. Genel öneri
  • Yetkili kullanıcı hesaplarında çok faktörlü kimlik doğrulama kullanmayı değerlendirin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
vtenext < 25.02.2 25.02.2

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.