- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-120347
XunRuiCMS Member modülünde View.php dosyasındaki SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, internete açık olan CMS tabanlı web sitelerinde müşteri ve üye verilerinin sızmasına yol açabilir. Kamuya açık bir istismar kodu bulunduğu için saldırıların yakın zamanda başlaması olasıdır. Bu nedenle etkilenen sistemlerin hızla güncellenmesi önerilir.
ÖzetTürkçe
XunRuiCMS'in 4.7.4 ve öncesi sürümlerinde, Member modülünün dayrui/Fcms/Core/View.php dosyasındaki View fonksiyonu, catid parametresinin manipüle edilmesine karşı yeterince korunmamaktadır. Bu durum SQL enjeksiyonuna yol açabilmektedir. Açık uzaktan istismar edilebilir ve kamuya açık bir istismar kodu yayımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını değiştirerek veriyi okuyabilir, değiştirebilir veya silebilir. Bu, sitede kayıtlı üye bilgilerinin sızmasına ve bütünlüğün bozulmasına neden olabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was determined in dayrui XunRuiCMS up to 4.7.4. Affected is the function View of the file dayrui/Fcms/Core/View.php of the component Member Module. Executing a manipulation of the argument catid can lead to sql injection. It is possible to launch the attack remotely. The exploit has been publicly disclosed and may be utilized. This patch is called 9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231. The affected component should be upgraded.
Ne yapmalı?
- Etkilenen XunRuiCMS kurulumlarını, satıcının düzeltme yaptığı sürüme veya düzeltme commit'ini içeren güncellemeye yükseltin. Genel öneri
- Güncelleme yapılana kadar Member modülüne ait View işlevine erişimi kısıtlayın veya devre dışı bırakın. Genel öneri
- Veritabanı kullanıcısının yetkilerini en az ayrıcalık ilkesine göre sınırlandırın. Genel öneri
- Web sunucusu ve veritabanı günlüklerinde catid parametresinde şüpheli SQL ifadeleri içeren istekleri inceleyin. Genel öneri
Ek önlemler
- Açık sürümünü ve yükseltme durumunu tüm CMS kurulumlarınız için envanterde takip edin. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) kurallarıyla SQL enjeksiyonu desenlerini engelleyin. Genel öneri
- Yükseltme sonrası veritabanı ve dosya bütünlüğünü kontrol edin, şüpheli değişiklik olup olmadığını araştırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dayrui XunRuiCMS | 4.7.0 | – |
| 4.7.1 | – | |
| 4.7.2 | – | |
| 4.7.3 | – | |
| 4.7.4 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- gitee.com/…ommit/9b6ea0cf9c6e8cdc9a5260c38b95da5fed4c4231 Yama
- vuldb.com/cve/CVE-2026-120347 Üçüncü taraf
- vuldb.com/submit/1016284 Üçüncü taraf
- github.com/…osure-xunruicms-4.7.2/blob/master/reports/3.md İstismar kodu ya da analiz
- vuldb.com/vuln/429671 Diğer
- vuldb.com/vuln/429671/cti Diğer
- gitee.com/dayrui/xunruicms Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.