- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-121610
funadmin 7.1.0 Frontend List Endpoint selectFields parametresinde SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, web sitesinin veritabanındaki bilgilere dışarıdan ve giriş yapmadan erişilmesine izin verebilir. Kamuya açık bir istismar kodu bulunduğu için saldırıların başlaması olasıdır. Sistemin etkilenip etkilenmediğini hemen kontrol etmek ve gerekli önlemleri gecikmeden almak gerekir.
ÖzetTürkçe
funadmin 7.1.0 sürümünde, frontend/ajax/index dosyasındaki Curd::selectList fonksiyonunun selectFields parametresi yeterli doğrulamadan işlenmektedir. Bu durum SQL enjeksiyonu açığına yol açar. Açık uzaktan istismar edilebilir ve kamuya açık bir istismar kodu yayımlanmıştır. Açığın etkilediği sürüm olarak yalnızca 7.1.0 belirtilmiştir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan veritabanı sorgularını manipüle ederek verilere yetkisiz erişebilir ve bazı verileri değiştirebilir veya hizmeti aksatabilir.
Kaynaktaki açıklama (İngilizce)
A security flaw has been discovered in funadmin 7.1.0. Impacted is the function Curd::selectList of the file /frontend/ajax/index of the component Frontend List Endpoint. The manipulation of the argument selectFields results in sql injection. The attack can be executed remotely. The exploit has been released to the public and may be used for attacks. The vendor was contacted early about this disclosure but did not respond in any way.
Ne yapmalı?
- Satıcının açıklamadığı bir düzeltme bulunmadığı için, funadmin'in 7.1.0 sürümünü kullanan sistemlerde öncelikle bu sürümün kullanımda olup olmadığını belirleyin. Genel öneri
- Satıcının resmi bir düzeltme yayımlayana kadar, frontend/ajax/index uç noktasına erişimi ağ düzeyinde kısıtlayın veya geçici olarak kapatın. Genel öneri
- selectFields parametresini yalnızca izin verilen alan adlarının beyaz listesiyle sınırlayacak şekilde doğrulama ekleyin veya bu uç noktayı geçici olarak devre dışı bırakın. Genel öneri
- Veritabanı kullanıcısının yetkilerini en aza indirin ve gerekirse yedeklerin güncel olduğundan emin olun. Genel öneri
Ek önlemler
- Web uygulaması günlüklerinde selectFields parametresinde şüpheli karakterler ya da hata mesajları içeren istekleri izleyin. Genel öneri
- Satıcıyla iletişime geçerek resmi bir yama takvimi talep edin ve yama yayımlandığında hemen uygulayın. Genel öneri
- Web uygulaması güvenlik duvarı (WAF) kurallarıyla SQL enjeksiyonu desenlerini engellemeyi değerlendirin, ancak bunu kalıcı bir çözüm olarak görmeyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| funadmin | 7.1.0 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-121610 Üçüncü taraf
- vuldb.com/submit/1023291 Üçüncü taraf
- github.com/…8E%88%E6%9D%83%20SQL%20%E6%B3%A8%E5%85%A5.docx İstismar kodu ya da analiz
- vuldb.com/vuln/430447 Diğer
- vuldb.com/vuln/430447/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.