- Yama var
- Son 7 gün
- CWE-89
CVE-2026-116207
YesWiki Bazar arama API'sinde SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, internete açık YesWiki sitelerinde saldırganların veritabanındaki kullanıcı bilgilerine giriş yapmasına ve siteyi çalışmaz hale getirmesine olanak tanır. Üretici, sorunu düzelten sürümleri yayımlamıştır. Etkilenen siteler için güncelleme yapılması acil bir öncelik taşımaktadır.
ÖzetTürkçe
YesWiki'nin 4.6.0 ile 4.7.0 öncesi sürümlerinde ve 5.0.0-alpha1 ile 5.0.0-alpha4 öncesi sürümlerinde, Bazar girdileri arama API'sinin kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu açığı bulunmaktadır. Sorgudaki alan adları ters tırnak içindeki bir takma ada yerleştirilmekte ve yalnızca mysqli_real_escape_string ile kaçışlanmaktadır. Bu nedenle kurulumu etkilenen sürümlerde çalışan tüm YesWiki siteleri risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan alt sorgular enjekte ederek kullanıcı parola özetleri gibi veritabanındaki verilere erişebilir. SLEEP gibi fonksiyonlarla veritabanı iş parçacıklarını tüketerek hizmet kesintisine de yol açabilir.
Kaynaktaki açıklama (İngilizce)
YesWiki 4.6.0 before 4.7.0 and 5.0.0-alpha1 before 5.0.0-alpha4 contains an unauthenticated SQL injection vulnerability in SearchManager::prepareSearchRequest(). Field names from the query and searchfields parameters of the public Bazar entries search API are placed in a backtick-quoted alias escaped only with mysqli_real_escape_string. Attackers can supply a backtick to inject subqueries, reading data such as user password hashes or exhausting database threads with SLEEP().
Ne yapmalı?
- YesWiki'yi 4.6.0 veya 5.0.0-alpha1 sürümünden sonra yayımlanan düzeltilmiş sürümlerden birine güncelleyin: 4.x dalında 4.7.0, 5.0.0 alfa dalında 5.0.0-alpha4 veya üzeri. Üretici
- Güncelleme sonrasında sürüm numarasını kontrol edin ve sitenin Bazar arama işlevinin normal çalıştığını doğrulayın. Genel öneri
- Güncelleme yapamıyorsanız, Bazar arama API'sine dışarıdan erişimi web sunucusu veya güvenlik duvarı kuralları ile geçici olarak engelleyin. Genel öneri
Ek önlemler
- Veritabanı kullanıcısına yalnızca uygulamanın ihtiyaç duyduğu en az yetkiyi verin. Genel öneri
- Veritabanı sunucusundaki uzun süren sorguları ve olağandışı SLEEP kullanımını izleyin. Genel öneri
- Kullanıcı parolalarının özetlerini güçlü bir algoritma ile saklayın ve olası sızıntı durumunda parolaları değiştirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| yeswiki | ≥ 4.6.0, < 4.7.0 | 4.7.0 |
| 4.7.0 Etkilenmiyor | – | |
| ≥ 5.0.0-alpha1, < 5.0.0-alpha4 | 5.0.0-alpha4 | |
| 5.0.0-alpha4 Etkilenmiyor | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.