- Son 7 gün
- CWE-26
CVE-2026-112904
Vvveb CMS'te nextRestore ve nextBackup fonksiyonlarında dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
Vvveb, web siteleri, bloglar ve e-ticaret mağazaları oluşturmak için sayfa oluşturucu içeren güçlü ve kullanımı kolay bir CMS'tir. 1.0.8.6 ve önceki sürümlerde, yedekleme denetleyicisindeki nextRestore ve nextBackup fonksiyonları, bir file GET parametresini kabul eder ve bunu sanitizeFileName çağrılmadan doğrudan DIR_BACKUP ile birleştirir. Bu durum, kimliği doğrulanmış bir yöneticinin sunucudaki rastgele dosyaları okumasına (nextRestore aracılığıyla) ve SQL döküm içeriğini rastgele konumlara yazmasına (nextBackup aracılığıyla) olanak tanır. Bu, restore, delete ve download gibi kardeş fonksiyonların hepsinin önce sanitizeFileName fonksiyonunu doğru şekilde çağırmasıyla tutarsızdır. Sorun, aa29cb0 commit'i ile yamanmıştır.
Kaynaktaki açıklama (İngilizce)
Vvveb is a powerful and easy to use CMS with page builder to build websites, blogs or ecommerce stores. In versions 1.0.8.6 and prior, the nextRestore() and nextBackup() functions in the backup controller accept a file GET parameter and concatenate it directly to DIR_BACKUP without calling sanitizeFileName(). This allows an authenticated administrator to read arbitrary files on the server (via nextRestore) and write SQL dump content to arbitrary locations (via nextBackup). This is inconsistent with the sibling functions restore(), delete(), and download() which all correctly call sanitizeFileName() first. This issue has been patched via commit aa29cb0.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| givanz Vvveb | Sürüm belirtilmemiş | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.