- Son 7 gün
- CWE-284
- CWE-434
CVE-2026-117512
oretnom23 php-travel-agency-system employee_insert.php kısıtlanmamış dosya yükleme
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, uygulamayı internete açık olarak kullanan işletmeler için önemli bir risk oluşturmaktadır. Kamuya açık bir saldırı kodu bulunması nedenle kötü niyetli kişilerin kolayca yararlanabileceği anlamına gelir. Proje tarafından henüz bir düzeltme yayımlanmadığından, kullanıcıların bu yazılımı hemen gözden geçirmesi önerilir.
ÖzetTürkçe
oretnom23 php-travel-agency-system projesinde admin/employee_insert.php dosyasındaki çalışan fotoğrafı alanı, yüklenen dosya türünü yeterince denetlemediği için kısıtlanmamış dosya yüklemeye açıktır. Saldırı uzaktan gerçekleştirilebilir. Açığın kamuya açık bir istismar kodu bulunmaktadır ve proje sahibine erken aşamada bildirilmesine rağmen henüz yanıt verilmemiştir. Etkilenen sürümler, veri tabanında belirtilen commit özetleriyle tanımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, sunucuya zararlı bir dosya yükleyerek uzaktan kod çalıştırabilir veya sistemdeki verileri okuyup değiştirebilir ya da hizmeti aksatabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was found in oretnom23 php-travel-agency-system. This affects an unknown part of the file admin/employee_insert.php. Performing a manipulation of the argument employee photo results in unrestricted upload. The attack is possible to be carried out remotely. The exploit has been made public and could be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Veri tabanında belirtilen etkilenen commit sürümlerini kullanıyorsanız, sistemi bir düzeltme yayımlanana kadar kullanmayı durdurun ya da erişimi kısıtlayın. Genel öneri
- Yönetici paneline erişimi yalnızca güvenilir ağlardan veya VPN üzerinden sınırlandırın. Genel öneri
- Yükleme dizinini web üzerinden çalıştırılabilir dosyaları işletmeyecek şekilde yapılandırın ve yüklenen dosyaların yalnızca resim olarak sunulmasını sağlayın. Genel öneri
- Yükleme işlevini, dosya türü ve uzantısını sunucu tarafında doğrulayan bir düzeltme gelene kadar devre dışı bırakmayı değerlendirin. Genel öneri
Ek önlemler
- Yükleme dizinlerindeki yeni ve beklenmeyen dosyaları düzenli olarak izleyin. Genel öneri
- Web sunucusu günlüklerinde employee_insert.php dosyasına yönelik şüpheli istekleri kontrol edin. Genel öneri
- Proje için resmi bir güvenlik düzeltmesi yayımlanana kadar kaynak kodu güvenlik açısından yeniden denetleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| oretnom23 php-travel-agency-system | 4e28b8f84d72420373dd15c3ae32900beb7e0635 | – |
| 2592d60d8f2c6e199f02c828c6d6fbc7b5298c96 | – | |
| b58513f8371d098650fac656001bf8f59f795d25 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117512 Üçüncü taraf
- vuldb.com/submit/1024620 Üçüncü taraf
- github.com/oretnom23/php-travel-agency-system/issues/6 İstismar kodu ya da analiz
- vuldb.com/vuln/427078 Diğer
- vuldb.com/vuln/427078/cti Diğer
- github.com/oretnom23/php-travel-agency-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.