Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-78

CVE-2026-73697

Control Web Panel (CWP) phpini_editor modülünde dosya yazma ve komut enjeksiyonu

Control Web Panel

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, panele erişimi olan kişilerin sunucu üzerinde ciddi değişiklikler yapmasına ve komut çalıştırmasına izin verebilir. Panel barındırma hizmeti veya küçük işletme sunucusu kullanan kuruluşlar için risk yüksektir. Etkilenen sistemlerin hızla güncellenmesi önerilir.

ÖzetTürkçe

Control Web Panel (CWP) sürüm 1.16 öncesinde, kullanıcı paneli içindeki phpini_editor modülünde keyfi dosya yazma ve işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Açık, modüle erişimi olan saldırganların kısıtlama olmadan dosya yazmasına ve işletim sistemi komutları çalıştırmasına olanak tanır. Etkilenen sistemler, sürüm 1.16 öncesindeki CWP kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, kullanıcı paneli bağlamında keyfi dosya yazabilir ve komut çalıştırarak kod yürütme elde edebilir. Bu durum sistemde kalıcılık sağlanmasına ve verilerin ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Control Web Panel (CWP) before webpanel_version 1.16 contains an arbitrary file write and OS command injection vulnerability in the phpini_editor user panel module that allows attackers with access to the module to write attacker-controlled content to arbitrary paths and execute arbitrary OS commands. Attackers can exploit the acc=update action to write files via file_put_contents without path confinement and the acc=addlabelphpiniadv action to pass unsanitized input into shell_exec, achieving code execution in the user panel context.

Ne yapmalı?

  1. Control Web Panel'i 1.16 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde panele erişimi olan kullanıcı hesaplarını gözden geçirin ve gereksiz hesapları devre dışı bırakın. Genel öneri
  3. Güncelleme tamamlanana kadar phpini_editor modülüne erişimi kısıtlamayı değerlendirin. Genel öneri

Ek önlemler

  • Kullanıcı paneli dosyalarında beklenmeyen değişiklikleri ve yeni oluşturulan dosyaları izleyin. Genel öneri
  • Panel kullanıcılarının yetkilerini en aza indirin ve güçlü kimlik doğrulama kullanın. Genel öneri
  • Web sunucu ve sistem günlüklerinde şüpheli komut çalıştırma izlerini düzenli olarak kontrol edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Control Web Panel < 1.16 1.16

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Açıklama güncellendi
  2. CVSS puanı değişti: 9.8 → 8.8
  3. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.