Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-22
  • CWE-23

CVE-2026-120225

Oray Pugongying X5 Pro config_restore_ex fonksiyonunda yol geçişi (path traversal) açığı

Oray Pugongying X5 Pro

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
1 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulDB

Yönetici özeti

Bu açık, ağ cihazlarının kontrolünü ele geçirilmesine imkân verebilecek ciddi bir risk taşımaktadır ve kamuya açık bir istismar kodu bulunmaktadır. Üretici güvenlik bildirimine yanıt vermediği için resmi bir düzeltme henüz görünmemektedir. Bu nedenle etkilenen cihazların hızla izole edilmesi ve yönetim erişiminin kısıtlanması önerilir.

ÖzetTürkçe

Oray Pugongying X5 Pro cihazının 7.6.1 sürümüne kadar olan sürümlerinde, /etc/openwrt_release dosyasındaki config_restore_ex fonksiyonunda bir zafiyet bulunmaktadır. filename argümanının doğrulanmadan kullanılması, göreli yol geçişine (relative path traversal) izin vermektedir. Etkilenen sürümler 7.6.0 ve 7.6.1 olarak listelenmiştir. Saldırı uzaktan başlatılabilir ve açık için kamuya açık bir istismar kodu yayınlanmıştır.

Saldırgan ne yapabilir?

Kimlik doğrulaması yetkili bir saldırgan, dosya sistemindeki beklenmeyen konumlara erişebilir ve bu konumlarda dosya okuyup yazabilir; bu da cihazın yapılandırmasının ele geçirilmesine ve sistemin tam kontrolünün kaybedilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

A weakness has been identified in Oray Pugongying X5 Pro up to 7.6.1. Affected by this vulnerability is the function config_restore_ex of the file /etc/openwrt_release. This manipulation of the argument filename causes relative path traversal. The attack may be initiated remotely. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.

Ne yapmalı?

  1. Üreticinin 7.6.1 sürümünü kullanan cihazlar için resmi bir düzeltme yayınlaması beklenmelidir; ancak satıcı bildirime yanıt vermediği için bilinen bir düzeltme sürümü bulunmamaktadır. Genel öneri
  2. Etkilenen cihazların yönetim arayüzüne erişim, yalnızca güvenilen iç ağlarla veya VPN üzerinden sınırlandırılmalıdır. Genel öneri
  3. Cihazın internete doğrudan açık olan yönetim arayüzleri kapatılmalı veya güvenlik duvarı kuralları ile dışarıdan erişim engellenmelidir. Genel öneri
  4. Yapılandırma geri yükleme işlevinin kullanımı durdurulmalı ve cihazın yapılandırma dosyaları yedeklenerek beklenmeyen değişiklikler için incelenmelidir. Genel öneri

Ek önlemler

  • Cihazın erişim günlükleri ve yapılandırma dosyalarındaki beklenmeyen değişiklikler düzenli olarak izlenmelidir. Genel öneri
  • Yönetici hesapları için güçlü parolalar kullanılmalı ve varsayılan kimlik bilgileri değiştirilmelidir. Genel öneri
  • Cihazın ağa bağlı olmayan veya ayrı bir segmentte çalıştırılması değerlendirilmelidir. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Oray Pugongying X5 Pro 7.6.0 –
7.6.1 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.