- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-117516
oretnom23 php-travel-agency-system iletişim formunda SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, web sitesi üzerinden müşteri iletişim bilgilerinin çalınmasına veya değiştirilmesine yol açabilecek bir güvenlik zafiyetidir. Kamuya açık bir saldırı kodu bulunduğu için risk yüksektir ve kısa sürede hareket edilmesi gerekir. Yazılım geliştiricisi henüz yanıt vermediğinden resmi bir düzeltme beklenmeden önlem alınmalıdır.
ÖzetTürkçe
oretnom23 php-travel-agency-system uygulamasındaki iletişim formu işleyicisinde bulunan contact_insert.php dosyasında SQL enjeksiyonu açığı tespit edilmiştir. Ad, şirket, e-posta, konu, telefon ve yorum alanları, veritabanı sorgusuna güvenli biçimde işlenmeden aktarılmaktadır. Açık, uzaktan tetiklenebilir ve kamuya açık bir istismar kodu mevcuttur.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını manipüle ederek kayıtlı verileri okuyabilir, değiştirebilir veya silebilir. Bu durum, iletişim formundan gelen kişisel bilgilerin ifşasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A weakness has been identified in oretnom23 php-travel-agency-system. The affected element is an unknown function of the file contact_insert.php of the component Contact Form Handler. This manipulation of the argument name/company/email/topic/phone/comments causes sql injection. The attack can be initiated remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Veri sağlayıcısının resmi bir düzeltme yayımlamadığı bilgisi mevcut olduğundan, uygulamanın kaynak kodunu yöneten ekiple iletişime geçerek düzeltme durumunu kontrol edin. Genel öneri
- Geliştirici düzeltme yayımlayana kadar iletişim formunu geçici olarak devre dışı bırakın veya erişimini kısıtlayın. Genel öneri
- contact_insert.php dosyasındaki tüm veritabanı sorgularını hazırlanmış ifadeler (prepared statements) kullanacak şekilde yeniden yazın ve kullanıcı girdilerini doğrulayın. Genel öneri
- Veritabanı kullanıcısına yalnızca gerekli minimum yetkileri verin ve olağandışı sorgu veya veri değişikliklerini izleyin. Genel öneri
Ek önlemler
- Web uygulamasının erişim günlüklerini contact_insert.php dosyasına yönelik şüpheli istekler açısından inceleyin. Genel öneri
- Web uygulamasını bir web uygulama güvenlik duvarı (WAF) arkasında çalıştırarak SQL enjeksiyonu desenlerini engellemeyi değerlendirin. Genel öneri
- Veritabanında yedekleme alın ve geri yükleme prosedürünüzün çalıştığını doğrulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| oretnom23 php-travel-agency-system | 4e28b8f84d72420373dd15c3ae32900beb7e0635 | – |
| 2592d60d8f2c6e199f02c828c6d6fbc7b5298c96 | – | |
| b58513f8371d098650fac656001bf8f59f795d25 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-117516 Üçüncü taraf
- vuldb.com/submit/1024624 Üçüncü taraf
- github.com/oretnom23/php-travel-agency-system/issues/10 İstismar kodu ya da analiz
- vuldb.com/vuln/427082 Diğer
- vuldb.com/vuln/427082/cti Diğer
- github.com/oretnom23/php-travel-agency-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.