- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-121502
mathurvishal CloudClassroom-PHP-Project facultydetails.php SQL enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, uygulamanın veritabanına yetkisiz erişime izin verebilir ve kullanıcı bilgileri gibi kayıtların ele geçirilmesine ya da değiştirilmesine neden olabilir. Açığın herkese açık bir istismar kodu bulunduğu ve satıcının bildirime yanıt vermediği için acil önlem alınması önerilir.
ÖzetTürkçe
mathurvishal CloudClassroom-PHP-Project uygulamasındaki facultydetails.php dosyasında, deleteid parametresi üzerinden SQL enjeksiyonu açığı tespit edilmiştir. Saldırı uzaktan başlatılabilir ve kimlik doğrulama gerektirmez. Etkilenen sürümler, belirli commit özetleriyle tanımlanmıştır; ürün sürekli güncelleme modeliyle dağıtıldığı için sürüm numarası bilgisi bulunmamaktadır. Açığın kullanımına yönelik bir istismar kodu herkese açık olarak yayımlanmıştır.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgusunu manipüle ederek veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir; bu da hizmetin kesintiye uğramasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was identified in mathurvishal CloudClassroom-PHP-Project. The impacted element is an unknown function of the file facultydetails.php. The manipulation of the argument deleteid leads to sql injection. The attack may be initiated remotely. The exploit is publicly available and might be used. This product uses a rolling release model to deliver continuous updates. As a result, specific version information for affected or updated releases is not available. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Satıcıdan resmi bir düzeltme veya sabit sürüm sağlanmadığı için, uygulamanın kullanımda olup olmadığını kontrol edin ve etkilenen commit'lerin kullanılıp kullanılmadığını doğrulayın. Genel öneri
- Erişilebilir durumdaysa uygulamayı geçici olarak devre dışı bırakın ya da facultydetails.php sayfasına erişimi kısıtlayın. Genel öneri
- deleteid parametresini kullanan tüm veritabanı sorgularını hazırlanmış ifadeler (prepared statements) ile yeniden yazın ve girdiyi sayısal değer olarak doğrulayın. Genel öneri
- Veritabanı kullanıcısının yetkilerini en aza indirin, uygulamanın yalnızca gerekli tablolara erişebilmesini sağlayın. Genel öneri
Ek önlemler
- Web sunucusu ve uygulama günlüklerinde deleteid parametresinde şüpheli karakterler ya da hata mesajları içeren istekleri izleyin. Genel öneri
- Veritabanı yedeklerinin düzenli alındığını ve geri yüklenebildiğini doğrulayın. Genel öneri
- Uygulamayı internete doğrudan açmak yerine, erişimi kurumsal ağ veya VPN ile sınırlandırmayı değerlendirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| mathurvishal CloudClassroom-PHP-Project | 5dadec098bfbbf3300d60c3494db3fb95b66e7be | – |
| c46ce5736007d9d6e51a8feeb9250729fe85f139 | – | |
| dae0c5961a35a4faf28cde9e02117538f09f81c1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-121502 Üçüncü taraf
- vuldb.com/submit/1019365 Üçüncü taraf
- github.com/…pro/Advisory/blob/main/deleteid-sqli-family.md İstismar kodu ya da analiz
- vuldb.com/vuln/430284 Diğer
- vuldb.com/vuln/430284/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.