- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-117514
oretnom23 php-travel-agency-system yönetici kayıt sayfasında SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açıklık, uygulamanın veritabanındaki müşteri ve personel kayıtlarına yetkisiz erişim sağlayabilir. Herkese açık bir saldırı kodu bulunması ve üreticinin henüz yanıt vermemesi nedeniyle risk yüksektir ve hızlı önlem alınması gerekir.
ÖzetTürkçe
oretnom23 php-travel-agency-system uygulamasının yönetici paneli kayıt sayfalarındaki admin/customer_detail.php dosyasında, customer_id, ticket_id, emp_id, salary_id ve page_id parametrelerinin işlenmesinde bir SQL enjeksiyonu açığı tespit edilmiştir. Açık uzaktan tetiklenebilmekte ve herkese açık bir istismar kodu bulunmaktadır. Açıklığı etkilenen sürümler için kesin bir düzeltme bilinmemektedir; proje, sorunu bir issue bildirimi ile erken aşamada bildirilmesine rağmen henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularına müdahale ederek kayıtlı müşteri ve personel bilgilerini okuyabilir veya değiştirebilir; bu durum kimlik bilgilerinin ve veri bütünlüğünün ihlaline yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was identified in oretnom23 php-travel-agency-system. This issue affects some unknown processing of the file admin/customer_detail.php of the component Admin Record Pages. The manipulation of the argument costomer_id/ticket_id/emp_id/salary_id/page_id leads to sql injection. It is possible to initiate the attack remotely. The exploit is publicly available and might be used. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Etkilenen commit sürümlerini kullanan kurulumları tespit edin ve bu uygulamayı internete açık ortamlardan derhal kaldırın ya da erişimi kısıtlayın. Genel öneri
- Üreticiden resmi bir yama gelene kadar admin/customer_detail.php dosyasındaki ilgili parametrelerin veritabanı sorgusunda doğrudan kullanılmadığından emin olun ve girdileri hazırlanmış sorgular (prepared statements) ile işleyecek şekilde kodu düzeltin. Genel öneri
- Yönetici paneline erişimi yalnızca güvenilir IP adresleri veya VPN üzerinden sınırlandırın. Genel öneri
- Veritabanı kullanıcısının yetkilerini en aza indirin ve gereksiz tabloya veya işleme erişimi kaldırın. Genel öneri
Ek önlemler
- Uygulamanın web sunucu ve veritabanı günlüklerini, customer_detail.php dosyasına yönelik olağandışı istekler açısından inceleyin. Genel öneri
- Üretici yama yayınlayana kadar bu uygulamayı üretim ortamında kullanmamayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| oretnom23 php-travel-agency-system | 4e28b8f84d72420373dd15c3ae32900beb7e0635 | – |
| 2592d60d8f2c6e199f02c828c6d6fbc7b5298c96 | – | |
| b58513f8371d098650fac656001bf8f59f795d25 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117514 Üçüncü taraf
- vuldb.com/submit/1024622 Üçüncü taraf
- github.com/oretnom23/php-travel-agency-system/issues/8 İstismar kodu ya da analiz
- vuldb.com/vuln/427080 Diğer
- vuldb.com/vuln/427080/cti Diğer
- github.com/oretnom23/php-travel-agency-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.