- Son 7 gün
- CWE-74
- CWE-89
CVE-2026-122038
krupalshah EmployeeRecruitmentSystem reqformprocessing.php dosyasında SQL enjeksiyonu
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, internete açık bir işe alım sisteminde çalışan kişilerin ve başvuranların bilgilerini ele geçirilebilir veya değiştirilebilir hale getirebilir. Kamuya açık bir istismar kodu bulunduğu için risk yüksektir ve kısa sürede harekete geçilmesi gerekir. Tedarikçi bildirime yanıt vermediği ve ürün artık desteklenmediği için kalıcı bir yama beklenmemelidir.
ÖzetTürkçe
krupalshah EmployeeRecruitmentSystem uygulamasında, Requirement Board Update işleyicisinin source/reqformprocessing.php dosyasındaki mysql_query fonksiyonu kullanıcı girdisini yeterince temizlemeden SQL sorgusuna eklemektedir. Bu nedenle uzaktan gönderilen özel hazırlanmış istekler SQL enjeksiyonuna yol açabilmektedir. Açık, kaynak kodda 922ff6d208278282e7c8e36d70d9ae356adec9fe commit'ine kadar olan sürümleri etkilemektedir. Ürün sürümlendirme kullanmadığı için etkilenen ve etkilenmeyen sürümler belirlenememiştir.
Saldırgan ne yapabilir?
Saldırgan, veritabanı sorgularını manipüle ederek hassas kayıtları okuyabilir, değiştirebilir veya silebilir. Başarılı bir saldırı, başvuru sahiplerinin kişisel bilgilerinin ifşa olmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
A vulnerability was identified in krupalshah EmployeeRecruitmentSystem up to 922ff6d208278282e7c8e36d70d9ae356adec9fe. Affected by this issue is the function mysql_query of the file source/reqformprocessing.php of the component Requirement Board Update Handler. Such manipulation leads to sql injection. The attack can be launched remotely. The exploit is publicly available and might be used. This product does not use versioning. This is why information about affected and unaffected releases are unavailable. The vendor was contacted early about this disclosure but did not respond in any way. This vulnerability only affects products that are no longer supported by the maintainer.
Ne yapmalı?
- Tedarikçi bilgilendirilmiş ancak yanıt vermemiştir ve ürün desteklenmediği için resmi bir yama mevcut değildir; bu nedenle resmi bir düzeltme sürümü belirtilememektedir. Genel öneri
- Etkilenen uygulamayı, mümkünse yalnızca güvenilir ağlardan erişilebilecek şekilde kısıtlayın veya geçici olarak devre dışı bırakın. Genel öneri
- reqformprocessing.php dosyasındaki veritabanı sorgularını hazırlanmış ifadeler (prepared statements) kullanacak şekilde yeniden yazın ve kullanıcı girdilerini sorguya doğrudan eklemeyin. Genel öneri
- Uygulama için kullanılan veritabanı hesabının yetkilerini en aza indirin; gereksiz tablo ve işlem haklarını kaldırın. Genel öneri
- Veritabanı ve web sunucusu kayıtlarını şüpheli SQL hata mesajları ve olağandışı istekler açısından inceleyin; olası bir ihlal tespit edilirse verileri ve kimlik bilgilerini değiştirin. Genel öneri
Ek önlemler
- Ürünü desteklenen ve yamalanmış bir alternatife geçirmeyi değerlendirin. Genel öneri
- Web uygulamasının önüne bir web uygulama güvenlik duvarı (WAF) koyarak SQL enjeksiyonu kalıplarını engelleyin; bu tek başına tam bir çözüm değildir. Genel öneri
- Başvuru formlarından gelen olağandışı girdileri ve veritabanı hata çıktılarını düzenli olarak izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| krupalshah EmployeeRecruitmentSystem | 922ff6d208278282e7c8e36d70d9ae356adec9fe | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-122038 Üçüncü taraf
- vuldb.com/submit/1025067 Üçüncü taraf
- github.com/Rin471/CVE-/issues/1 İstismar kodu ya da analiz
- vuldb.com/vuln/431103 Diğer
- vuldb.com/vuln/431103/cti Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.