Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-121731

RosarioSIS devamsızlık raporunda period_id üzerinden SQL enjeksiyonu

francoisjacquet RosarioSIS

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, okul veya kurum bilgi sistemindeki öğrenci ve yönetici verilerinin sızmasına ya da değiştirilmesine yol açabilir. Veli gibi yetkili olmayan sayılabilecek kullanıcılar da bu açığı kullanabildiği için risk yüksektir. Yazılımın güncellenmesi acil bir öncelik olmalıdır.

ÖzetTürkçe

RosarioSIS yazılımının 12.9 öncesi sürümlerinde, StudentSummary.php dosyasındaki period_id parametresi tırnak içine alınmadan işlendiği için SQL enjeksiyonu açığı bulunmaktadır. Bu açık, veli dahil olmak üzere kimlik doğrulaması yapılmış öğrenci olmayan kullanıcılar tarafından istismar edilebilir. Açık, devamsızlık raporu bileşeninde ortaya çıkmaktadır.

Saldırgan ne yapabilir?

Saldırgan, tek tırnak kullanmayan özel sorgularla yönetici parola özetlerini ve öğrenci kayıtlarını zamanlama tabanlı sorgularla çekebilir; yığılmış ifadelerle verileri değiştirebilir.

Kaynaktaki açıklama (İngilizce)

RosarioSIS before 12.9 contains a sql injection vulnerability that allows authenticated non-student users, including parents, to inject SQL via the unquoted period_id parameter in StudentSummary.php. Attackers can supply payloads without single quotes into IN() clauses to extract administrator password hashes and student records through time-based queries or modify data via stacked statements.

Ne yapmalı?

  1. RosarioSIS'i 12.9 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltme öncesinde veritabanı ve dosyaların yedeğini alın. Genel öneri
  3. Yükseltme yapılana kadar devamsızlık raporu erişimini yalnızca güvenilir yöneticilerle sınırlandırın ve veli erişimini geçici olarak kapatmayı değerlendirin. Genel öneri
  4. Yükseltmeden sonra yönetici ve öğrenci hesaplarının parolalarını değiştirin, çünkü parola özetleri daha önce sızmış olabilir. Genel öneri

Ek önlemler

  • Veritabanı sorgu günlüklerinde beklenmeyen zamanlama gecikmeleri veya olağandışı SELECT ve UPDATE sorgularını izleyin. Genel öneri
  • Veritabanı kullanıcısına yalnızca gereken en düşük yetkileri verin ve yönetici hesaplarını ayrı tutun. Genel öneri
  • Web uygulaması güvenlik duvarı veya ters vekil üzerinden parametre değerlerindeki SQL anahtar kelimelerini tespit eden kurallar uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
francoisjacquet RosarioSIS < 12.9 12.9

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.