- Son 7 gün
- CWE-284
- CWE-434
CVE-2026-119620
cak-filemanagement-system add_logs.php dosya yükleme kısıtlaması eksikliği
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, sisteme kimlik doğrulaması olmadan zararlı dosya yüklenmesine izin verebilir ve bunun için kamuya açık bir istismar mevcuttur. Proje henüz yanıt vermediği için resmi bir düzeltme bulunmuyor; bu nedenle ilgili sistemleri hemen gözden geçirmeniz ve riski azaltmanız önerilir.
ÖzetTürkçe
cak-filemanagement-system projesinde admin/add_logs.php dosyasındaki move_uploaded_file işlevi, File argümanı üzerinden yüklenen dosyaları yeterli kısıtlama olmadan kabul eder (CWE-434, CWE-284). Etkilenen sürümler, belirtilen commit'e kadar olan sürümlerdir. Saldırı uzaktan gerçekleştirilebilir ve CVSS vektörüne göre kimlik doğrulama gerektirmez. Açık için kamuya açık bir istismar yayımlanmıştır ve proje, sorunu bir issue ile bildirilmesine rağmen henüz yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, sunucuya kısıtlanmamış bir dosya yükleyerek sistemde zararlı içerik bırakabilir. CVSS vektörü, gizlilik, bütünlük ve erişilebilirlik üzerinde düşük düzeyde etki öngörmektedir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was determined in 37954679 cak-filemanagement-system up to 5e6433246475e66462e1fea980688de96a049297. This vulnerability affects the function move_uploaded_file of the file admin/add_logs.php. Executing a manipulation of the argument File can lead to unrestricted upload. The attack may be performed from remote. The exploit has been publicly disclosed and may be utilized. The project was informed of the problem early through an issue report but has not responded yet.
Ne yapmalı?
- Projenin bu açık için resmi bir düzeltme yayımladığına dair bilgi bulunmamaktadır. Kaynak kodu kullanan sistemlerde güncel bir düzeltme yayımlanana kadar aşağıdaki geçici önlemleri uygulayın. Genel öneri
- Yönetim (admin) dizinine erişimi ağ düzeyinde yalnızca güvenilir IP adreslerine ve yetkili kullanıcılara sınırlandırın. Genel öneri
- Dosya yükleme işlevini geçici olarak devre dışı bırakın veya yalnızca kimliği doğrulanmış ve güvenilir kullanıcılara açın. Genel öneri
- Yükleme dizinlerini ve son yüklenen dosyaları tarayarak beklenmeyen uzantılı veya betik içeren dosyaları bulun ve şüpheli olanları kaldırın. Genel öneri
- Sunucu erişim ve dosya oluşturma kayıtlarını inceleyerek olağan dışı yükleme veya erişim girişimlerini kontrol edin. Genel öneri
Ek önlemler
- Yükleme dizinlerinde betik çalıştırmayı web sunucusu yapılandırmasıyla engelleyin. Genel öneri
- Dosya uzantısı ve içerik türü için beyaz liste tabanlı, sunucu tarafında doğrulama uygulayın. Genel öneri
- Yükleme ve yönetim işlemlerini düzenli olarak izleyin ve olağan dışı etkinlikler için uyarı kuralları tanımlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| 37954679 cak-filemanagement-system | 5e6433246475e66462e1fea980688de96a049297 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-119620 Üçüncü taraf
- vuldb.com/submit/1026375 Üçüncü taraf
- github.com/37954679/cak-filemanagement-system/issues/2 İstismar kodu ya da analiz
- vuldb.com/vuln/429059 Diğer
- vuldb.com/vuln/429059/cti Diğer
- github.com/37954679/cak-filemanagement-system Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.