- Son 7 gün
- CWE-74
- CWE-94
CVE-2026-120349
dayrui XunRuiCMS mobil site dizini index.php dosyasında kod enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, internete açık web sitelerini uzaktan ve kimlik doğrulaması olmadan hedef alabilmektedir. Saldırının kamuya açık bir istismar kodu bulunduğu için saldırı girişimleri beklenmelidir. Etkilenen sistemler öncelikli olarak ele alınmalıdır.
ÖzetTürkçe
dayrui XunRuiCMS sürüm 4.7.4'e kadar olan sürümlerde, Mobil Site Dizini bileşeninin index.php dosyasındaki str_replace fonksiyonunda bir güvenlik açığı tespit edilmiştir. dirname argümanının manipüle edilmesi kod enjeksiyonuna yol açmaktadır. Açık, uzaktan saldırıyla istismar edilebilir ve kamuya açık bir istismar kodu yayımlanmıştır. Veri sağlayıcı (VulDB) tarafından üreticiye erken bildirimde bulunulmasına rağmen üretici yanıt vermemiştir.
Saldırgan ne yapabilir?
Saldırgan, uzaktan kimlik doğrulaması olmadan sunucuda kod çalıştırabilir; bu da veri okuma, değiştirme ve sistemin kısmen ya da tamamen ele geçirilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
A security flaw has been discovered in dayrui XunRuiCMS up to 4.7.4. Affected by this issue is the function str_replace of the file /var/www/html/zzmob/index.php of the component Mobile Site Directory. The manipulation of the argument dirname results in code injection. The attack can be launched remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Üreticinin bu açık için bir düzeltme yayımlamadığı belirtilmiştir; sürüm 4.7.0 ile 4.7.4 arasındaki XunRuiCMS kurulumlarını tespit edin. Genel öneri
- Mobil site dizini bileşenini geçici olarak devre dışı bırakın veya erişimini engelleyin; mümkünse /zzmob/ yoluna dış erişimi web sunucusu seviyesinde kısıtlayın. Genel öneri
- Güvenlik duvarı veya web uygulama güvenlik duvarı (WAF) üzerinden dirname parametresine yönelik şüpheli girdileri engelleyecek kurallar tanımlayın. Genel öneri
- Üretici resmi bir yama yayımlayana kadar sistemi izleyin ve yayımlandığında hemen uygulayın. Genel öneri
Ek önlemler
- Web sunucusu erişim ve hata kayıtlarını, özellikle dirname parametresi içeren istekler için düzenli olarak inceleyin. Genel öneri
- Web sunucusu sürecinin ayrıcalıklarını minimumda tutun ve dosya sistemine yazma iznini yalnızca gerekli dizinlerle sınırlandırın. Genel öneri
- Kullanılmayan bileşenleri ve eklentileri kaldırarak saldırı yüzeyini azaltın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| dayrui XunRuiCMS | 4.7.0 | – |
| 4.7.1 | – | |
| 4.7.2 | – | |
| 4.7.3 | – | |
| 4.7.4 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-120349 Üçüncü taraf
- vuldb.com/submit/1016299 Üçüncü taraf
- github.com/…osure-xunruicms-4.7.2/blob/master/reports/2.md İstismar kodu ya da analiz
- vuldb.com/vuln/429673 Diğer
- vuldb.com/vuln/429673/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.