- Yama var
- Son 7 gün
- CWE-698
CVE-2026-73696
Control Web Panel (CWP) kullanıcı paneli kimlik doğrulamasının atlatılması (yönlendirme sonrası çalışma)
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, yetkisiz kişilerin yönetim panelinin korunan bölümlerine girmesine izin verebilir ve hosting ortamındaki müşteri verileri ile hizmetler için ciddi bir risk oluşturur. Saldırının uygulanması kolay olduğundan, etkilenen sistemlerin hemen güncellenmesi önerilir.
ÖzetTürkçe
Control Web Panel (CWP) sürüm 1.12 öncesinde, kullanıcı paneli kimlik doğrulama akışındaki (CWPUserIndex) bir hata nedeniyle yönlendirme sonrası kodun çalışmaya devam ettiği bir güvenlik açığı bulunmaktadır. Yönlendirme başlığı gönderildikten sonra betiğin sonlandırılmamış olması, yetkisiz istemcilerin kimlik doğrulama gerektiren kullanıcı paneli işlevlerine ulaşmasına olanak tanımaktadır. Etkilenen taraflar, 1.12 öncesi CWP sürümlerini kullanan sunucu ve barındırma yöneticileridir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan kullanıcı paneli işlevlerine erişebilir ve bu sayede sistemdeki verileri görüntüleyebilir veya değiştirebilir.
Kaynaktaki açıklama (İngilizce)
Control Web Panel (CWP) before webpanel_version 1.12 contains an execution after redirect vulnerability in the user panel authentication flow (CWPUserIndex) that allows unauthenticated attackers to bypass authentication by exploiting a missing exit() call after a header('Location: ...') redirect. Attackers can send unauthenticated requests to continue PHP execution past the redirect, reaching user panel functionality that should require authentication.
Ne yapmalı?
- Control Web Panel'i 1.12 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar CWP kullanıcı paneli erişimini ağ düzeyinde kısıtlayın ve yalnızca güvenilir IP adreslerine izin verin. Genel öneri
- Güncelleme sonrası kullanıcı paneli erişim kayıtlarını inceleyerek yetkisiz istek olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Yönetim ve kullanıcı panellerini herkese açık internete doğrudan açmak yerine VPN veya IP kısıtlaması arkasında tutun. Genel öneri
- Web sunucusu erişim günlüklerini düzenli olarak izleyerek kimlik doğrulama sayfalarına yapılan olağandışı istekleri takip edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Control Web Panel | < 1.12 | 1.12 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Açıklama güncellendi
- CVSS puanı değişti: 9.8 → 9.1
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.