- Son 7 gün
- CWE-22
CVE-2026-117566
EasyImages2.0 uygulamasında kimlik doğrulamasız dizin geçişi (path traversal) açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, kimlik doğrulaması olmayan herkesin sunucudaki bazı dosyalara erişmesine olanak tanıyabilir. Orta düzeyde bir risk taşır ancak sistemde hassas bilgi tutuluyorsa işletme açısından ciddi sonuçlar doğurabilir. Güncelleme veya geçici önlemlerin hızla uygulanması önerilir.
ÖzetTürkçe
EasyImages2.0 uygulamasının 2.8.6 ve önceki sürümleri, app/down.php, app/thumb.php ve app/info.php dosyalarında kimlik doğrulama gerektirmeyen bir dizin geçişi (path traversal) açığı içermektedir. Bu açık, sunucuda yükleme dizini dışındaki dosyaların okunmasına imkân vermektedir. Etkilenen, kendi sunucusunda bu uygulamayı çalıştıran tüm kurumlar ve barındırma sağlayıcılarıdır.
Saldırgan ne yapabilir?
Saldırgan, dw, history veya img parametrelerine ../ dizilerini ekleyerek, izin verilen uzantıya sahip sunucu dosyalarını okuyabilir. Bu durum, yapılandırma veya kullanıcı verilerinin ifşa olmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
EasyImages2.0 through 2.8.6 contains an unauthenticated path traversal vulnerability in app/down.php, app/thumb.php and app/info.php that allows reading files outside the upload directory. Attackers can supply ../ sequences in the dw, history or img parameters to read files with allowed upload extensions from the server.
Ne yapmalı?
- Üretici tarafından sağlanan düzeltme içeren bir sürüme, 2.8.6 sürümünün üzerine güncelleme yapılması gerekir. Güncel sürüm bilgisi ve kaynak kodu düzeltmesi için üreticinin resmi kaynaklarını inceleyin. Genel öneri
- Güncelleme yapılamıyorsa, app dizinindeki down.php, thumb.php ve info.php dosyalarına dışarıdan erişimi web sunucusu düzeyinde kısıtlayın. Genel öneri
- Yükleme dizini dışındaki dosyalara erişimi engelleyecek şekilde dosya yolu doğrulamasını gözden geçirin ve dışarıdan gelen dw, history ve img parametrelerini sıkı biçimde filtreleyin. Genel öneri
Ek önlemler
- Web sunucusu erişim günlüklerinde ../ içeren isteklerini ve bu üç dosyaya yapılan olağandışı istekleri izleyin. Genel öneri
- Uygulama dosyalarının ve yapılandırma dosyalarının web kökü dışında veya erişime kapalı konumlarda tutulmasını sağlayın. Genel öneri
- Sunucuda hassas dosya okumalarına karşı, en az yetki prensibiyle çalışan bir sistem kullanıcısı ile uygulamayı çalıştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| icret EasyImages2.0 | ≤ 2.8.6 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/e337a2bee7e7c67eb90bc4364a345c0857cb73aa Yama
- github.com/icret/EasyImages2.0/issues/286 Üçüncü taraf
- vulncheck.com/…-traversal-via-down-php-thumb-php-and-info-php Üçüncü taraf
- github.com/icret/EasyImages2.0 Diğer
- github.com/icret/EasyImages2.0/blob/2.8.6/app/down.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.