- Yama var
- Son 7 gün
- CWE-78
CVE-2026-77876
Control Web Panel (CWP) protected_directory modülünde OS komut enjeksiyonu
- Yayımlandı
- Güncellendi
- 2 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu açık, sunucuyu yöneten panelde saldırganların kendi komutlarını çalıştırmasına olanak tanır ve CVSS puanı kritik seviyededir. Yönetilen sistemlerin ele geçirilmesi, müşteri verilerinin sızması veya hizmetin durması gibi ciddi iş riskleri doğurabilir. Bu nedenle yamanın hemen uygulanması gerekir.
ÖzetTürkçe
Control Web Panel (CWP) sürüm 1.16 öncesinde, protected_directory kullanıcı paneli modülünde işletim sistemi komut enjeksiyonu açığı bulunmaktadır. Açık, acc=deletedp eyleminde file POST parametresiyle gönderilen filtrelenmemiş girdinin doğrudan shell_exec çağrısına aktarılmasından kaynaklanır. Etkilenen, sürüm 1.16 öncesi Control Web Panel kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması gerektirmeden kullanıcı paneli bağlamında rastgele komutlar çalıştırabilir. Bu durum, barındırılan verilere erişim, değiştirme ve hizmetin kesintiye uğratılması gibi sonuçlara yol açabilir.
Kaynaktaki açıklama (İngilizce)
Control Web Panel (CWP) before webpanel_version 1.16 contains an OS command injection vulnerability in the protected_directory user panel module that allows attackers to execute arbitrary commands by submitting unescaped input through the file POST parameter in the acc=deletedp action. Attackers can exploit this flaw, which passes attacker-controlled input directly into a shell_exec call, to achieve code execution in the user panel context.
Ne yapmalı?
- Control Web Panel'i 1.16 veya üzeri bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar kullanıcı paneli erişimini yalnızca güvenilen ağlarla sınırlandırın ve internete açık erişimi kapatın. Genel öneri
- Panel üzerinden acc=deletedp eylemine ait beklenmeyen istekler veya olağandışı dosya silme işlemleri için web sunucu ve uygulama günlüklerini inceleyin. Genel öneri
Ek önlemler
- Panel ve sunucu yönetim arayüzlerine erişimi IP kısıtlamaları veya VPN ile sınırlandırın. Genel öneri
- Çalışan panel sürümlerini düzenli olarak envanterleyin ve güvenlik güncellemelerini takip edin. Genel öneri
- Kullanıcı paneli süreçlerinin gereksiz yetkilerle çalışmadığından emin olun ve en az ayrıcalık ilkesini uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Control Web Panel | < 1.16 | 1.16 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.