- Yama var
- Son 7 gün
- CWE-434
CVE-2026-54630
Part-DB: Kimliği doğrulanmış kullanıcılar için .phar eki ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- GitHub_M
Yönetici özeti
Bu açık, sisteme giriş yapabilen sıradan bir kullanıcının sunucunun kontrolünü ele geçirmesine yol açabilir. Varsayılan ayarlarla kurulan sistemler etkilenebileceği için güncelleme acil bir öncelik taşır. Müşteri ve kullanıcı verilerinin güvenliği ile iş sürekliliği açısından yüksek risk oluşturur.
ÖzetTürkçe
Part-DB envanter yönetim sisteminin 2.12.1 öncesi sürümlerinde, parça eklerinin yüklenmesi sırasında .phar uzantılı dosyalar engellenmiyor. Bu dosyalar web sunucusunun erişilebilir public/media dizinine kaydediliyor. Varsayılan Apache yapılandırması .phar dosyalarını PHP-FPM'e yönlendirdiği için yüklenen dosya istek üzerine PHP olarak çalıştırılabiliyor. Varsayılan users grubundaki herhangi bir kimliği doğrulanmış kullanıcı bu açığı kullanabilir.
Saldırgan ne yapabilir?
Saldırgan, web sunucusu kullanıcısı (www-data) yetkisiyle keyfi PHP kodu çalıştırabilir; bu da sistemdeki dosyalara, yapılandırma bilgilerine ve veritabanındaki verilere erişim ve bunların değiştirilmesi anlamına gelebilir.
Kaynaktaki açıklama (İngilizce)
Part-DB is an open source inventory management system for electronic components. Prior to version 2.12.1, the part attachment upload handler stores uploaded files under the web-served media directory using the client-supplied file extension, and its extension blocklist does not include phar. AttachmentSubmitHandler::renameBlacklistedExtensions() rewrites dangerous extensions (php, phtml, sh, cgi, py, js, html, htaccess, ...) to .txt, but phar is absent from the list, so a .phar file keeps its extension. Public attachments (the default) are written into public/media/, which is the Apache document root. The shipped Apache configuration routes .phar to PHP-FPM, so the stored file is executed as PHP on request. The per-attachment-type extension filter is empty by default and is not consulted by the upload handler in a way that blocks this, and a non-admin user in the default users group can create an attachment type with no filter and attach files to parts. Any authenticated user in the default users group uploads a .phar attachment to a part and fetches it under /media/, executing arbitrary PHP as the www-data web user. Ability to exploit depends on the webserver config, docker image contained the vulnerability by default. This issue has been patched in version 2.12.1.
Ne yapmalı?
- Part-DB'yi 2.12.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme hemen yapılamıyorsa, web sunucusu yapılandırmasında medya dizinindeki .phar dosyalarının PHP'ye yönlendirilmesini engelleyin ve bu dizinde betik dosyalarının çalıştırılmasını kapatın. Genel öneri
- Yeni ek türü oluşturma yetkisini yalnızca güvenilir yöneticilerle sınırlandırın ve ek türlerinde dosya uzantısı filtresi tanımlayın. Genel öneri
- public/media dizinini .phar ve beklenmeyen uzantılı dosyalar açısından inceleyin; şüpheli dosyaları kaldırın ve sunucuda izinsiz erişim olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Yükleme dizinlerinde PHP tarafından çalıştırılabilecek uzantıları web sunucusu düzeyinde reddedin. Genel öneri
- Kullanıcı hesaplarına ve dosya yükleme yetkilerine en az yetki ilkesini uygulayın. Genel öneri
- Web sunucusu erişim günlüklerini düzenli izleyin ve medya dizinine yönelik olağandışı istekleri takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Part-DB-server | < 2.12.1 | 2.12.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.