- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-120342
CloudClassroom-PHP-Project viewquery.php dosyasında SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, çevrim içi sınıf yönetimi için kullanılan bir web uygulamasında veritabanına yetkisiz erişim riski oluşturmaktadır ve halka açık bir saldırı kodu mevcuttur. Geliştirici yanıt vermediği için resmi bir düzeltme beklemek riskli olabilir. Bu nedenle sistemi kullanan kuruluşların hızla önlem alması gerekir.
ÖzetTürkçe
mathurvishal CloudClassroom-PHP-Project uygulamasındaki viewquery.php dosyasında bulunan bir işlevde, eid parametresinin girdi denetiminden geçmeden kullanılması SQL enjeksiyonuna yol açmaktadır. Saldırı uzaktan, kimlik doğrulaması olmadan gerçekleştirilebilir. Etkilenen sürümler commit özetleriyle belirtilmiştir; çünkü proje sürekli dağıtım (rolling release) modeliyle geliştirildiğinden sürüm numarası bilgisi bulunmamaktadır. Açığın halka açık bir istismar kodu bulunmakta ve bu kod kullanılabilir durumdadır.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını manipüle ederek veritabanındaki verilere yetkisiz erişebilir, verileri değiştirebilir veya uygulamanın hizmet kesintisine uğramasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was detected in mathurvishal CloudClassroom-PHP-Project. The affected element is an unknown function of the file viewquery.php. The manipulation of the argument eid results in sql injection. The attack can be executed remotely. The exploit is now public and may be used. This product implements a rolling release for ongoing delivery, which means version information for affected or updated releases is unavailable. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Satıcı tarafından bildirilmiş sabit bir sürüm bulunmamaktadır; geliştirici bildirime yanıt vermediği için resmi yama henüz yayımlanmamıştır. Uygulamanın kullanılan kodunu güncel bir kaynaktan kontrol edin. Genel öneri
- viewquery.php dosyasındaki eid parametresini kullanan sorguları, parametreli sorgu (prepared statement) yapısına geçirerek girdiyi veriden ayırın. Genel öneri
- eid parametresine yalnızca beklenen biçimde (örneğin sayısal) değerlerin kabul edilmesini sağlayacak doğrulama ekleyin. Genel öneri
- Yama uygulanana kadar viewquery.php dosyasına erişimi web sunucusu veya bir güvenlik duvarı kuralıyla kısıtlayın ya da dosyayı geçici olarak devre dışı bırakın. Genel öneri
- Veritabanında kullanılan hesabın yetkilerini en aza indirin ve yedeklerinizi doğrulayın. Genel öneri
Ek önlemler
- Uygulamayı internete doğrudan açık bırakmayın; mümkünse erişimi yalnızca yetkili ağlarla sınırlayın. Genel öneri
- Web sunucusu ve veritabanı günlüklerinde eid parametresinde şüpheli karakterler veya beklenmedik sorgu hatalarını izleyin. Genel öneri
- Uygulamayı kullanan veritabanında anormal veri erişimi veya değişikliği olup olmadığını kontrol edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mathurvishal CloudClassroom-PHP-Project | 5dadec098bfbbf3300d60c3494db3fb95b66e7be | – |
| c46ce5736007d9d6e51a8feeb9250729fe85f139 | – | |
| dae0c5961a35a4faf28cde9e02117538f09f81c1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-120342 Üçüncü taraf
- vuldb.com/submit/1016422 Üçüncü taraf
- github.com/…sroom-PHP-Project-1.0/tree/main/viewquery-sqli İstismar kodu ya da analiz
- vuldb.com/vuln/429667 Diğer
- vuldb.com/vuln/429667/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.