Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306

CVE-2026-77877

Control Web Panel (CWP) yerel API'sinde kimlik doğrulama eksikliği: root yetkili erişim

Control Web Panel

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, panel üzerinde yönetici yetkisi gerektiren işlemlerin kimlik doğrulaması olmadan yapılabilmesine izin verir ve sunucunun tamamen kontrol edilmesine yol açabilir. Etkilenen sistemlerde veri kaybı, hizmet kesintisi ve müşteri verisinin ele geçirilmesi riski yüksektir. Öncelikli olarak güncelleme yapılması önerilir.

ÖzetTürkçe

Control Web Panel (CWP) 1.30 öncesi sürümlerinde, yerel geri döngü (loopback) üzerindeki API servisine erişebilen bir saldırgan, erişim belirteci (token) göstermeden root yetkili API yollarını çağırabilir. Etkilenen uç noktalar arasında veritabanı geri yükleme, kullanıcı yönetimi, oturum ve token doğrulama ile kullanıcı paneli gösterge tablosu yer alır. Sorun, CWE-306 (kimlik doğrulama eksikliği) sınıfındadır.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın root ayrıcalıklarıyla yetkisiz işlemler yapmasına, sistem üzerinde kullanıcı ve veritabanı düzeyinde değişiklik yapmasına olanak tanır. Bu, sunucunun tam ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

Control Web Panel (CWP) before webpanel_version 1.30 contains a missing authentication vulnerability that allows attackers able to reach the loopback API service to invoke root-privileged API routes without presenting an access token. Attackers can access endpoints such as /v1/restoredatabase/, /generaluser/, /last_access/, /valid_user/, /valid_token/, and /user_panel_dashboard/ to perform unauthorized actions with root privileges.

Ne yapmalı?

  1. Control Web Panel'i 1.30 veya üzeri bir sürüme yükseltin. Üretici
  2. Yükseltme yapılana kadar API servisine yalnızca güvenilir yerel süreçlerin erişebildiğinden emin olun ve panele dışarıdan erişimi kısıtlayın. Genel öneri
  3. Sunucuda yetkisiz root düzeyinde işlem, beklenmeyen kullanıcı oluşturma veya veritabanı geri yükleme kayıtlarını inceleyin. Genel öneri

Ek önlemler

  • Sunucuda yerel erişimi olan kullanıcı hesaplarını ve çalışan süreçleri düzenli olarak denetleyin. Genel öneri
  • Panel ve API erişim kayıtlarını izleyin, olağandışı istekleri uyarı olarak değerlendirin. Genel öneri
  • Sunucuya yalnızca gerekli ağ portlarını açın ve yönetim arayüzlerini mümkünse ayrı bir ağ üzerinden erişilebilir kılın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Control Web Panel < 1.30 1.30

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: 7.8 → 8.4
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.