Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-98

CVE-2026-73695

Control Web Panel (CWP) services/users/index.php dosyasında yol geçişi (LFI) açığı

Control Web Panel

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
1 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sunucu yönetim paneline erişimi olan kullanıcıların sistemde kendi yetkilerinin ötesine geçmesine ve sunucuda keyfi kod çalıştırmasına olanak tanıyabilir. Müşteri verileri ve hizmet sürekliliği açısından risk yüksektir, bu nedenle güncellemenin öncelikli olarak yapılması önerilir.

ÖzetTürkçe

Control Web Panel (CWP) sürüm 1.16 öncesinde, services/users/index.php dosyasındaki modül adı parametresi temizlenmeden doğrudan include yoluna eklenmektedir. Bu nedenle saldırgan dizin geçiş dizileri ekleyerek sunucudaki keyfi yerel PHP dosyalarını dahil edebilir. Etkilenen sistemler, CWP kurulu olan tüm sunucular ve panel kullanıcılarıdır.

Saldırgan ne yapabilir?

Kimliği doğrulanmış bir saldırgan, kullanıcı paneli bağlamında keyfi PHP kodu çalıştırabilir; bu da veri sızıntısı, verilerin değiştirilmesi veya hizmetin kesintiye uğratılması anlamına gelebilir.

Kaynaktaki açıklama (İngilizce)

Control Web Panel (CWP) before webpanel_version 1.16 contains a path traversal vulnerability in services/users/index.php that allows attackers to include arbitrary local PHP files by supplying an unsanitized module name parameter concatenated directly into an include path. Attackers can inject directory traversal sequences into the module name to achieve local file inclusion and execute arbitrary PHP code in the user panel context.

Ne yapmalı?

  1. Control Web Panel'i 1.16 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde ve sonrasında panel erişim kayıtlarını inceleyerek services/users/index.php dosyasına yönelik şüpheli istekleri kontrol edin. Genel öneri
  3. Güncelleme yapılana kadar panele erişimi yalnızca güvenilir IP adresleriyle sınırlandırın ve gereksiz panel kullanıcılarını devre dışı bırakın. Genel öneri

Ek önlemler

  • Panel kullanıcı hesaplarında güçlü parolalar ve mümkünse çok faktörlü doğrulama kullanın. Genel öneri
  • Web sunucusu ve PHP hata günlüklerini düzenli olarak izleyerek beklenmedik dosya dahil etme denemelerini tespit edin. Genel öneri
  • Panel yazılımını ve sunucudaki diğer bileşenleri düzenli olarak güncel tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Control Web Panel < 1.16 1.16

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Açıklama güncellendi
  2. CVSS puanı değişti: 9.8 → 8.8
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.