Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-2613

WSO2 API Manager ve ilişkili ürünlerde Admin REST API üzerinden SQL enjeksiyonu

WSO2 API Control PlaneWSO2 API ManagerWSO2 Carbon API Management Implementation

Yüksek 8,7 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
WSO2

Yönetici özeti

Bu açık, yönetim yetkisine sahip bir kullanıcının veritabanındaki bilgilere erişmesine ve hizmetin kesilmesine neden olmasına olanak tanıyabilir. Etkilenen WSO2 ürünlerini kullanan işletmeler için iş sürekliliği ve veri güvenliği açısından orta-yüksek öncelikli bir güncelleme gerekmektedir.

ÖzetTürkçe

WSO2 API Manager, Traffic Manager, API Control Plane, Universal Gateway ve Carbon API Management Implementation ürünlerinde Admin REST API, kullanıcı girdisini yeterince temizlemeden SQL sorgularının yapısına dahil etmektedir. Bu nedenle SQL enjeksiyonu açığı oluşmaktadır. Söz konusu ürünlerin etkilenen sürümlerini kullanan kurumlar risk altındadır.

Saldırgan ne yapabilir?

Yönetici yetkisine sahip bir kullanıcı, kör SQL enjeksiyonu yoluyla veritabanındaki bilgileri çıkarabilir ve veritabanı servisinin erişilebilirliğini etkileyerek hizmet kesintisine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Admin REST API accepts user-supplied input without adequately sanitizing it, allowing it to be included in the structure of SQL statements.

A user with administrator privileges can exploit this by influencing the structure of executed SQL statements, enabling blind SQL injection to infer database information and potentially impact the availability of the database service.

Üreticinin çözüm notu (İngilizce)

Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5100/#solution

Ne yapmalı?

  1. WSO2 güvenlik danışmanında belirtilen çözüm adımlarını izleyin ve ürününüzü, etkilenmeyen sürümlere (API Manager için 4.0.0.387, 4.1.0.251, 4.2.0.191, 4.3.0.102, 4.4.0.66, 4.5.0.51, 4.6.0.15; Traffic Manager için 4.5.0.50 veya 4.6.0.15; API Control Plane için 4.5.0.52 veya 4.6.0.16; Universal Gateway için 4.5.0.51 veya 4.6.0.15; Carbon API Management Implementation için 9.33.25) yükseltin. Üretici
  2. Güncelleme tamamlanana kadar yönetici hesaplarının sayısını en aza indirin ve yönetici yetkisi gerektiren Admin REST API erişimini yalnızca güvenilir ağ konumlarıyla sınırlayın. Genel öneri
  3. Güncelleme sonrasında ürün sürümünü doğrulayın ve veritabanı erişim günlüklerinde olağan dışı sorgu kalıplarını kontrol edin. Genel öneri

Ek önlemler

  • Yönetici hesaplarında çok faktörlü kimlik doğrulama uygulayın ve yetkileri yalnızca gerekli kişilere verin. Genel öneri
  • Admin REST API çağrılarını ve hata yanıtlarını izleyerek şüpheli istek örüntülerini tespit edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler5 yazılım

YazılımEtkilenenDüzeltildiği sürüm
WSO2 API Control Plane < 4.5.0 Bilinmiyor –
≥ 4.5.0, < 4.5.0.52 4.5.0.52
≥ 4.6.0, < 4.6.0.16 4.6.0.16
WSO2 API Manager < 4.0.0 Bilinmiyor –
≥ 4.0.0, < 4.0.0.387 4.0.0.387
≥ 4.1.0, < 4.1.0.251 4.1.0.251
≥ 4.2.0, < 4.2.0.191 4.2.0.191
≥ 4.3.0, < 4.3.0.102 4.3.0.102
≥ 4.4.0, < 4.4.0.66 4.4.0.66
≥ 4.5.0, < 4.5.0.51 4.5.0.51
≥ 4.6.0, < 4.6.0.15 4.6.0.15
WSO2 Carbon API Management Implementation < 9.33.25 9.33.25

ve 6 satır daha

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.