- Son 7 gün
- CWE-74
- CWE-94
CVE-2026-120348
XunRuiCMS e-posta şablonu işlemesinde kod enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, web sitesini yöneten şirketler için ciddi bir iş riski oluşturmaktadır. Saldırganlar, kimlik doğrulaması olmadan sistemi uzaktan ele geçirebilir ve müşteri verilerine erişebilir. Açığın kamuya açık bir istismar kodu bulunduğu için acil önlem alınması gerekmektedir.
ÖzetTürkçe
dayrui XunRuiCMS'in Notice.php dosyasındaki _get_tpl_content fonksiyonu, e-posta şablonu işleme bileşeninde kullanıcı girdisini doğrulamadan işlemektedir. Bu nedenle kötü niyetli bir girdi sunucuda kod enjeksiyonuna yol açabilmektedir. Etkilenen sürümler 4.7.0 ile 4.7.4 arasındaki sürümlerdir. Saldırı uzaktan başlatılabilir ve bu açığı kullanan bir istismar kodu kamuya açıktır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması gerektirmeden uzaktan kötü amaçlı kod çalıştırabilir; bu da sunucunun ele geçirilmesine, veritabanındaki verilerin okunmasına veya değiştirilmesine ve hizmetin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was identified in dayrui XunRuiCMS up to 4.7.4. Affected by this vulnerability is the function _get_tpl_content of the file dayrui/Fcms/Library/Notice.php of the component Email Template Rendering. The manipulation leads to code injection. The attack can be initiated remotely. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üretici bu açık hakkında bilgilendirilmiş ancak yanıt vermemiştir; resmi bir düzeltilmiş sürüm bilinmemektedir. Bu nedenle sistemi bir düzeltme yayımlanana kadar güvenli bir şekilde korumak gerekir. Genel öneri
- XunRuiCMS'in 4.7.0 ile 4.7.4 arasındaki sürümlerini kullanan sistemleri tespit edin ve bu sürümlerin erişilebilir olup olmadığını kontrol edin. Genel öneri
- Notice.php dosyasında e-posta şablonu içeriğini işleyen kısma erişimi, yalnızca yetkili yöneticilerle sınırlandırın ya da bu özelliği geçici olarak devre dışı bırakın. Genel öneri
- Web sunucusu ve uygulama seviyesinde şablon düzenleme isteklerini engelleyecek bir güvenlik duvarı veya kural ekleyin. Genel öneri
- Olası bir ihlale karşı sunucu kayıtlarını ve dosya değişikliklerini inceleyin, şüpheli bir durum varsa yönetici parolalarını değiştirin. Genel öneri
Ek önlemler
- Yönetim panelini yalnızca güvenilen IP adresleriyle sınırlandırın ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Uygulama ve sunucu günlüklerini düzenli olarak izleyin, beklenmeyen şablon veya kod çalıştırma etkinliklerine dikkat edin. Genel öneri
- Açıkta kalan sistemleri düzeltme yayımlanana kadar yedekleyin ve olası bir geri dönüş planı hazırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dayrui XunRuiCMS | 4.7.0 | – |
| 4.7.1 | – | |
| 4.7.2 | – | |
| 4.7.3 | – | |
| 4.7.4 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-120348 Üçüncü taraf
- vuldb.com/submit/1016298 Üçüncü taraf
- github.com/…osure-xunruicms-4.7.2/blob/master/reports/1.md İstismar kodu ya da analiz
- vuldb.com/vuln/429672 Diğer
- vuldb.com/vuln/429672/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.