- Son 7 gün
- CWE-434
CVE-2026-105606
Joomla Custom Tables eklentisinde kimlik doğrulamasız keyfi dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Joomla
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden web sitenizin üzerine saldırgan kontrollü dosyalar yüklenmesine izin verebilir. Saldırganlar bu dosyaları sizin alan adınızla sunarak dolandırıcılık veya zararlı yazılım dağıtabilir. Bu nedenle sitenizde bu eklenti kullanılıyorsa güncellemeyi acilen yapmanız gerekir.
ÖzetTürkçe
Joomla için geliştirilen Custom Tables eklentisinde, 3.7.8 sürümünden önceki sürümler etkilenmektedir. Herkese açık bir Custom Tables gönderim formu bulunan Joomla sitelerinde, kimlik doğrulaması yapmadan saldırgan kontrollü uzantıya sahip bir dosya yüklenebilmekte ve dosyanın kayıt yolu yanıtta açığa çıkmaktadır. Yükleme, web üzerinden erişilebilen tmp dizinine yapılmaktadır.
Saldırgan ne yapabilir?
Saldırgan, web erişilebilir bir dizine keyfi dosya yazabilir ve kurban alan adı altında oltalama veya zararlı yazılım sayfaları barındırabilir. Varsayılan ayarlarda yüklenen dosya statik içerik olarak sunulduğundan, asıl etki içerik barındırma ve itibar kaybıdır.
Kaynaktaki açıklama (İngilizce)
Joomla Extension - joomlaboat.com - Unauthenticated arbitrary file upload in Custom Tables < 3.7.8 - An unauthenticated attacker can upload a polyglot file with an attacker-controlled extension to the web-accessible tmp directory of any Joomla site that exposes a public Custom Tables submission form, and the stored path is disclosed in the response. By default the uploaded file is served as static content, so the primary impact is an unauthenticated arbitrary file write to a web-accessible directory, which allows hosting of attacker-controlled content (for example phishing or malware pages) under the victim's domain.
Ne yapmalı?
- Custom Tables eklentisini 3.7.8 veya daha yeni bir sürüme güncelleyin. Genel öneri
- Güncelleme yapılana kadar herkese açık Custom Tables gönderim formlarını geçici olarak devre dışı bırakın. Genel öneri
- Web erişilebilir tmp dizinini inceleyin ve beklenmeyen dosyaları, özellikle script veya çalıştırılabilir uzantılı olanları, kaldırın. Genel öneri
Ek önlemler
- Yükleme dizinlerinde çalıştırılabilir betik dosyalarının işlenmesini sunucu yapılandırmasıyla engelleyin. Genel öneri
- Yükleme dizinlerindeki dosya oluşturma olaylarını ve beklenmeyen istekleri düzenli olarak izleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| joomlaboat.com Custom Tables extension for Joomla | ≥ 1.0, ≤ 3.7.7 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.