- Son 7 gün
- CWE-78
CVE-2026-123620
Usermin Read Mail modülünde IMAP klasör adı üzerinden işletim sistemi komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sisteme giriş yapabilen bir kullanıcının sunucu üzerinde kontrol sağlamasına olanak tanıyabilir. Etkilenen sunucularda veri sızıntısı, hizmet kesintisi ve sistemin ele geçirilmesi gibi ciddi iş riskleri oluşabilir. Yama veya geçici önlemler kısa sürede uygulanmalıdır.
ÖzetTürkçe
Usermin 2.570 ve öncesindeki sürümlerin Read Mail modülünde, IMAP klasör adları temizlenmeden işlenmektedir. Kimliği doğrulanmış bir kullanıcı, harici bir IMAP istemcisiyle kabuk özel karakterleri içeren bir klasör oluşturup bunu Usermin arayüzünden sildiğinde komut çalıştırabilmektedir. Bu durum, yalnızca webmail üzerinden erişime yönelik kısıtlamaları aşmaktadır.
Saldırgan ne yapabilir?
Saldırgan, Usermin'in çalıştığı sistem hesabının yetkileriyle keyfi komutlar çalıştırabilir; bu da sunucu üzerinde tam kontrol ve veri ihlali riskini doğurur.
Kaynaktaki açıklama (İngilizce)
Usermin through 2.570 contains an OS command injection vulnerability in the Read Mail module that allows authenticated users to execute commands through unsanitized IMAP folder names. Attackers can create a folder containing shell metacharacters via an external IMAP client, then delete it in Usermin to run commands as their system account, bypassing webmail-only restrictions.
Ne yapmalı?
- Usermin'i 2.570 sürümünden daha yeni bir sürüme güncelleyin. Genel öneri
- Sürüm yükseltmesi mümkün olana kadar, Usermin Read Mail modülünü kullanıcılar için devre dışı bırakmayı veya erişimi kısıtlamayı değerlendirin. Genel öneri
- Harici IMAP istemcisi üzerinden oluşturulmuş alışılmadık klasör adlarını ve silme işlemlerini izleyin. Genel öneri
Ek önlemler
- Usermin'i yalnızca gerekli kullanıcılar için erişilebilir tutun ve kullanılmayan hesapların erişimini kaldırın. Genel öneri
- Usermin sürecinin çalıştığı sistem hesabını en az yetkiyle sınırlandırın. Genel öneri
- Sunucu günlüklerini ve beklenmeyen süreç oluşturma olaylarını düzenli olarak denetleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| webmin usermin | ≤ 2.570 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…ommit/8a45420282ff04c943f05d9241a3c55afb9bca79 Yama
- github.com/webmin/usermin/issues/142 Üçüncü taraf
- vulncheck.com/…d-injection-via-read-mail-imap-folder-deletion Üçüncü taraf
- github.com/webmin/usermin Diğer
- github.com/webmin/usermin/blob/2.570/mailbox/mailbox-lib.pl Diğer
- hackmd.io/@leediay/H144QKY6zl Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.