- Son 7 gün
- CWE-74
- CWE-93
CVE-2026-116235
Oray Pugongying X5 Pro L2TP kimlik doğrulamasında CRLF enjeksiyonu
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, ağa bağlı bir cihazın kimlik doğrulama mekanizmasını hedef almaktadır ve halka açık bir istismar kodu bulunmaktadır. Başarılı bir saldırı, cihazdaki verilerin ve hizmetlerin kontrolünün kaybına yol açabilir. Etkilenen cihazların hızla tespit edilip güncellenmesi veya izole edilmesi önerilir.
ÖzetTürkçe
Oray Pugongying X5 Pro 7.6.1 sürümünde, L2TP kimlik doğrulama bileşenindeki Username (kullanıcı adı) parametresinin işlenmesinde bir hata bulunmuştur. Bu hata CRLF enjeksiyonuna (CWE-74, CWE-93) yol açmaktadır. Açık kaydı, etkilenen sürümü çalıştıran cihazları ilgilendirmektedir. Saldırı uzaktan başlatılabilir ve yayımlanmış bir istismar kodu bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulama akışına kontrol karakterleri enjekte ederek cihazın gizlilik, bütünlük ve erişilebilirlik özelliklerini etkileyebilir. Yetkili bir hesap gerektirse de başarılı bir istismar cihazın tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
A flaw has been found in Oray Pugongying X5 Pro 7.6.1. Affected by this vulnerability is an unknown functionality of the component L2TP Authentication. This manipulation of the argument Username causes crlf injection. The attack may be initiated remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üretici tarafından bu sürüm için bir düzeltme bilgisi verilmemiştir; üretici açıklamaya yanıt vermediği için güncel bir yama beklemek mümkün olmayabilir. Genel öneri
- Oray Pugongying X5 Pro cihazının L2TP hizmetini, kullanılmadığı sürece devre dışı bırakın. Genel öneri
- L2TP erişimini yalnızca güvenilen ağ adreslerine ayrılmış bir yönlendirme veya güvenlik duvarı kuralıyla kısıtlayın. Genel öneri
- Cihazın yönetim arayüzünü internete açık bırakmayın ve varsayılan veya zayıf kimlik bilgilerini hemen değiştirin. Genel öneri
Ek önlemler
- L2TP kimlik doğrulama isteklerini ve olağandışı kullanıcı adı girdilerini içeren kayıtları düzenli olarak izleyin. Genel öneri
- Cihazın üreticisinden veya satıcısından yeni yazılım sürümlerini düzenli olarak kontrol edin ve bir güncelleme yayımlandığında hemen uygulayın. Genel öneri
- Cihazı, kritik ağ bölümlerinden ayrı bir ağ segmentinde çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Oray Pugongying X5 Pro | 7.6.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-116235 Üçüncü taraf
- vuldb.com/submit/1005083 Üçüncü taraf
- app.notion.com/…ame-Injection-3ea797159f158012be0af2ca84d1ee2b İstismar kodu ya da analiz
- vuldb.com/vuln/426284 Diğer
- vuldb.com/vuln/426284/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.