- Son 7 gün
- CWE-434
CVE-2026-117607
Xerte Online Toolkits dil paketi içe aktarma özelliğinde uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yetkili bir kullanıcının sunucu üzerinde tam kontrol sağlayabilmesine olanak tanır ve kurumsal verilerin sızmasına ya da sistemin kötüye kullanılmasına neden olabilir. Yüksek ciddiyet derecesine sahip olduğu için öncelikli olarak ele alınmalıdır. Yazılımın güncellenmesi ve yetkili kullanıcı hesaplarının gözden geçirilmesi hemen planlanmalıdır.
ÖzetTürkçe
Xerte Online Toolkits 3.15.5 ve önceki sürümlerinde, dil paketi içe aktarma işlevinde kısıtlanmamış dosya yükleme sorunu bulunmaktadır. Sistem yetkisine sahip kimliği doğrulanmış kullanıcılar, içinde .inc uzantılı dosya bulunan özel hazırlanmış bir ZIP arşivi yükleyerek sunucuda PHP kodu çalıştırabilir. Açık, bu sürümleri kullanan tüm kurulumları etkilemektedir.
Saldırgan ne yapabilir?
Saldırgan, dil parametresi üzerinden yüklenen dosyayı çağırarak sunucuda keyfi kod çalıştırabilir. Bu durum sunucunun ele geçirilmesine, veritabanı ve dosyalara erişime ve kurulumun tamamen kontrol altına alınmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Xerte Online Toolkits through 3.15.5 contains a remote code execution vulnerability that allows authenticated users with system permission to run PHP by importing a crafted language pack. Attackers can upload a ZIP via import_language.php containing a .inc file, then request it through the language parameter to execute code on the server.
Ne yapmalı?
- Etkilenen Xerte Online Toolkits kurulumlarını, satıcının belirttiği düzeltilmiş sürüme güncelleyin. Mevcut bilgiler, 3.15.5 ve önceki sürümlerin etkilendiğini göstermektedir. Genel öneri
- Güncelleme yapılana kadar, sistem yetkisine sahip hesapların sayısını azaltın ve güvenilmeyen kullanıcılar için dil paketi içe aktarma işlevine erişimi kısıtlayın. Genel öneri
- Dil paketi dizinlerinde yeni eklenmiş .inc veya PHP uzantılı dosyaları inceleyin ve şüpheli dosyaları kaldırın. Genel öneri
Ek önlemler
- Sistem yetkisi veren hesapları düzenli olarak gözden geçirin ve yalnızca gerekli kişilere bu yetkiyi verin. Genel öneri
- Web sunucusu üzerinde yükleme dizinlerinde çalıştırılabilir betiklerin yürütülmesini engelleyin. Genel öneri
- Dil ve içe aktarma dizinlerindeki dosya değişikliklerini izleyin ve beklenmeyen eklemelere karşı uyarı oluşturun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| thexerteproject xerteonlinetoolkits | ≤ 3.15.5 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/thexerteproject/xerteonlinetoolkits/issues/1557 Üçüncü taraf
- vulncheck.com/…ts-through-3.15.5-rce-via-language-pack-import Üçüncü taraf
- github.com/…dff6b59bb52bf158cd30cf2c425cb24b/functions.php Diğer
- github.com/…/website_code/php/language/import_language.php Diğer
- github.com/thexerteproject/xerteonlinetoolkits Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.