Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-78

CVE-2026-77878

Control Web Panel (CWP) restoredatabase API üzerinden OS komut enjeksiyonu

Control Web Panel

Yüksek 8,4 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sunucuyu tamamen ele geçirmeye yol açabilecek yüksek riskli bir zafiyettir. Etkilenen panel sürümlerini kullanan işletmeler, sunucularının kontrolünü ve içerdikleri verileri kaybetme riskiyle karşı karşıyadır. Güncellemenin hemen yapılması önerilir.

ÖzetTürkçe

Control Web Panel (CWP) sürüm 1.30 öncesinde, yerel ağ arayüzünden erişilen veritabanı geri yükleme rotasında (/v1/restoredatabase/) OS komut enjeksiyonu açığı bulunmaktadır. restoreDBBackup işleyicisi, POST gövdesinden gelen dosya yolunu kaçış işlemi yapmadan doğrudan kabuk komutuna aktarmaktadır. Etkilenen sürümler 1.30 öncesi Control Web Panel kurulumlarıdır.

Saldırgan ne yapabilir?

Rotaya erişebilen bir saldırgan, keyfi işletim sistemi komutlarını root yetkisiyle çalıştırabilir ve sunucu üzerinde tam kontrol sağlayabilir.

Kaynaktaki açıklama (İngilizce)

Control Web Panel (CWP) before webpanel_version 1.30 contains an OS command injection vulnerability in the loopback API database restore route /v1/restoredatabase/, where the restoreDBBackup() handler passes an attacker-controlled file path from the POST body into a shell command without proper escaping. An attacker able to reach the route can inject arbitrary OS commands that execute as root.

Ne yapmalı?

  1. Control Web Panel'i 1.30 veya üzeri bir sürüme güncelleyin. Üretici
  2. Güncelleme tamamlanana kadar, yerel ağ arayüzündeki veritabanı geri yükleme rotasına yalnızca güvenilen kaynakların erişebildiğinden emin olun ve bu rotayı dış erişime kapatın. Genel öneri
  3. Güncelleme sonrasında panelin sürüm bilgisini kontrol ederek 1.30 veya üzeri olduğunu doğrulayın. Genel öneri

Ek önlemler

  • Panel sunucularına erişimi güvenilen IP adresleriyle sınırlandırın ve yönetim arayüzlerini genel internete açık bırakmayın. Genel öneri
  • Panel ve sunucu işlemlerindeki beklenmedik root düzeyinde komut çalıştırmalarını izleyin ve kayıtları düzenli olarak inceleyin. Genel öneri
  • Veritabanı yedeklerini ayrı bir konumda tutun ve geri yükleme işlemlerini yalnızca yetkili kişilerle sınırlandırın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Control Web Panel < 1.30 1.30

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: 7.8 → 8.4
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.