- Son 7 gün
- CWE-284
- CWE-434
CVE-2026-122047
Campcodes Complete Advance Loan Management System banner.php kısıtlanmamış dosya yükleme açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulDB
Yönetici özeti
Bu açık, yazılım kullanan bir kurumun web sistemine dışarıdan kimlik doğrulaması olmadan saldırı yapılmasına imkân verebilir. İstismar kodu herkese açık olduğundan saldırıların başlaması kolaydır. Kredi ve müşteri kayıtlarının güvenliği açısından bu konunun hızla ele alınması gerekir.
ÖzetTürkçe
Campcodes Complete Advance Loan Management System 1.0 sürümünde, /loan/application/banner.php dosyasındaki move_uploaded_file işlevinde bir güvenlik açığı tespit edilmiştir. image parametresinin manipülasyonu, dosya türü ve içeriği kısıtlanmadan yükleme yapılmasına yol açmaktadır. Açık uzaktan istismar edilebilir ve istismar kodu kamuya açıklanmıştır.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan zararlı bir dosya yükleyebilir ve bu dosya üzerinden sunucuda kod çalıştırma yoluna gidebilir; bu durumda sistemdeki verilere erişim, verilerin değiştirilmesi veya hizmetin kesintiye uğraması mümkündür.
Kaynaktaki açıklama (İngilizce)
A security vulnerability has been detected in Campcodes Complete Advance Loan Management System 1.0. This affects the function move_uploaded_file of the file /loan/application/banner.php. Such manipulation of the argument image leads to unrestricted upload. The attack may be launched remotely. The exploit has been disclosed publicly and may be used.
Ne yapmalı?
- Üretici tarafından sunulmuş bir düzeltme bilgisi bulunmamaktadır; bu nedenle ürünün güncel bir sürümü olup olmadığını üreticiden veya satıcıdan doğrulayın. Genel öneri
- Yükleme özelliğini gerektirmiyorsa banner.php dosyasına erişimi web sunucusu üzerinden engelleyin ya da dosyayı devre dışı bırakın. Genel öneri
- Yükleme dizinlerinde betik dosyalarının çalıştırılmasını engelleyin ve yalnızca izin verilen dosya türlerinin kabul edilmesini sağlayın. Genel öneri
- Yüklenmiş dosyaları ve sunucudaki beklenmeyen dosyaları inceleyin; şüpheli bir dosya bulunursa sistemi temiz bir yedekten geri yükleyin ve kimlik bilgilerini değiştirin. Genel öneri
Ek önlemler
- Yükleme formlarında dosya uzantısı, MIME türü ve içerik doğrulaması birlikte uygulanmalıdır. Genel öneri
- Web sunucusu erişim günlüklerinde banner.php dosyasına yönelik sıra dışı POST isteklerini izleyin. Genel öneri
- Kullanılmayan yönetim ve yükleme betiklerini ortamdan kaldırın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Campcodes Complete Advance Loan Management System | 1.0 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- vuldb.com/cve/CVE-2026-122047 Üçüncü taraf
- vuldb.com/submit/1025177 Üçüncü taraf
- tracexlabs.com/…advance-loan-management-unauth-rce-upload.html İstismar kodu ya da analiz
- vuldb.com/vuln/431115 Diğer
- vuldb.com/vuln/431115/cti Diğer
- campcodes.com Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.