- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-117515
oretnom23 php-travel-agency-system traceapplication.php dosyasında SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, turizm acentesi web sitesinin veritabanındaki bilgilerin dışarı sızmasına ya da değiştirilmesine yol açabilir. Halka açık bir saldırı kodu bulunduğu ve proje sahipleri henüz yanıt vermediği için risk yüksektir. Sisteminizi kullanıyorsanız gecikmeden önlem almanız önerilir.
ÖzetTürkçe
traceapplication.php dosyasındaki Search parametresi yeterince doğrulanmadan işlenmekte, bu da SQL enjeksiyonu açığına yol açmaktadır. Etkilenen sürüm, oretnom23 php-travel-agency-system projesinin 4e28b8f84d72420373dd15c3ae32900beb7e0635 commit'idir. Açığın halka açık bir istismar kodu yayımlanmış olup uzaktan saldırı yapılabilmektedir.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını manipüle ederek veri okuyabilir, değiştirebilir ve sistem üzerinde kısmi kontrol elde edebilir.
Kaynaktaki açıklama (İngilizce)
A security flaw has been discovered in oretnom23 php-travel-agency-system 4e28b8f84d72420373dd15c3ae32900beb7e0635. Impacted is an unknown function of the file traceapplication.php. The manipulation of the argument Search results in sql injection. It is possible to launch the attack remotely. The exploit has been released to the public and may be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Veritabanı sorgularında Search parametresini doğrudan kullanmak yerine hazırlanmış sorgular (prepared statements) ile parametre olarak bağlayın. Genel öneri
- Search parametresine gelen girdiyi beklenen biçimle sınırlayarak doğrulayın ve gerektiğinde kaçış (escape) uygulayın. Genel öneri
- Proje için resmi bir düzeltme sürümü henüz bilinmediğinden, düzeltme yayımlanana kadar traceapplication.php dosyasına erişimi kısıtlamayı veya sistemi çevrimdışı almayı değerlendirin. Genel öneri
Ek önlemler
- Veritabanı kullanıcısına yalnızca gerekli en düşük yetkileri verin ve yönetici yetkilerinden kaçının. Genel öneri
- Web sunucusu günlüklerinde traceapplication.php dosyasına yönelik şüpheli Search parametreli istekleri izleyin. Genel öneri
- Yazılımı kullanan tüm kurulumları envanterinize ekleyerek hangilerinin bu commit'i çalıştırdığını belirleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| oretnom23 php-travel-agency-system | 4e28b8f84d72420373dd15c3ae32900beb7e0635 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117515 Üçüncü taraf
- vuldb.com/submit/1024623 Üçüncü taraf
- github.com/oretnom23/php-travel-agency-system/issues/9 İstismar kodu ya da analiz
- vuldb.com/vuln/427081 Diğer
- vuldb.com/vuln/427081/cti Diğer
- github.com/oretnom23/php-travel-agency-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.