- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-117513
oretnom23 php-travel-agency-system yönetici arama sayfasında SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, seyahat acentesi sisteminizdeki müşteri ve personel verilerinin dışarıdan erişilerek okunmasına veya değiştirilmesine imkân verebilir. Sömürü bilgisi kamuya açık olduğu için risk yüksektir ve gecikmeden önlem alınması gerekir. Proje geliştiricisi henüz yanıt vermediğinden resmi bir yama beklenmemelidir.
ÖzetTürkçe
oretnom23 php-travel-agency-system uygulamasındaki yönetici arama bileşeninde, admin/customer_search.php dosyasında customer_name, voucher_no ve emp_name parametreleri yeterince temizlenmeden kullanılmaktadır. Bu nedenle uzaktan gönderilen özel hazırlanmış istekler SQL enjeksiyonuna yol açabilmektedir. Açık tipi CWE-74 ve CWE-89 olarak sınıflandırılmıştır ve sömürüye ilişkin bilgi kamuya açıklanmıştır.
Saldırgan ne yapabilir?
Saldırgan veritabanı sorgularını manipüle ederek müşteri ve personel kayıtlarını okuyabilir, değiştirebilir veya silebilir. Duruma bağlı olarak uygulamanın tamamının ele geçirilmesi de mümkün olabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was determined in oretnom23 php-travel-agency-system. This vulnerability affects unknown code of the file admin/customer_search.php of the component Admin Search Pages. Executing a manipulation of the argument customer_name/voucher_no/emp_name can lead to sql injection. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Kaynak kodda belirtilen tarihçeler arasında resmi bir düzeltme sağlanmadığı için, geliştiriciden yama gelene kadar sistemi doğrudan internete açık bırakmayın. Genel öneri
- admin/customer_search.php dosyasındaki customer_name, voucher_no ve emp_name parametrelerinin SQL sorgularına doğrudan eklenmesini engelleyin; hazırlanmış ifadeler (prepared statements) ve parametre bağlama kullanarak yeniden yazın. Genel öneri
- Yönetici arama sayfasına yalnızca yetkili ağ adreslerinden erişime izin verin veya sayfayı VPN arkasına alın. Genel öneri
- Veritabanı kullanıcısına yalnızca gerekli en düşük yetkileri verin; gereksiz tablo ve işlem izinlerini kaldırın. Genel öneri
Ek önlemler
- Web sunucu ve uygulama günlüklerinde customer_search.php dosyasına yönelik olağandışı veya tırnak/SQL anahtar kelimesi içeren istekleri izleyin. Genel öneri
- Veritabanını düzenli olarak yedekleyin ve yedeklerin bütünlüğünü test edin. Genel öneri
- Uygulamayı kullanan tüm yönetici hesaplarında güçlü parolalar ve çok faktörlü doğrulama kullanın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| oretnom23 php-travel-agency-system | 4e28b8f84d72420373dd15c3ae32900beb7e0635 | – |
| 2592d60d8f2c6e199f02c828c6d6fbc7b5298c96 | – | |
| b58513f8371d098650fac656001bf8f59f795d25 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117513 Üçüncü taraf
- vuldb.com/submit/1024621 Üçüncü taraf
- github.com/oretnom23/php-travel-agency-system/issues/7 İstismar kodu ya da analiz
- vuldb.com/vuln/427079 Diğer
- vuldb.com/vuln/427079/cti Diğer
- github.com/oretnom23/php-travel-agency-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.