Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89

CVE-2026-77879

Control Web Panel (CWP) access_token API'sinde SQL enjeksiyonu

Control Web Panel

Yüksek 7,7 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
VulnCheck

Yönetici özeti

Bu açık, sunucuyu yönetmek için kullanılan bir web kontrol panelini etkiliyor ve veritabanındaki hassas bilgilerin sızmasına ya da yetkisiz erişime yol açabiliyor. Kritik sistemlerde kısa sürede güncelleme yapılması, iş sürekliliği ve veri güvenliği açısından önemlidir.

ÖzetTürkçe

Control Web Panel'in 1.16 öncesi sürümlerinde, loopback üzerinden erişilen API kimlik doğrulama kontrolü access_token içinde SQL enjeksiyonu açığı bulunuyor. Bu fonksiyon veritabanına root kullanıcısıyla bağlanıyor ve saldırgan kontrolündeki değerleri sorguya doğrudan ekliyor. Açık, yetkili bir yerel kullanıcının tetikleyebileceği şekilde raporlanmıştır ve 1.16 öncesi tüm sürümleri etkiler.

Saldırgan ne yapabilir?

Saldırgan, authorization_code ve client_id parametreleri üzerinden veritabanındaki verileri okuyabilir ve kimlik doğrulama sonucunu manipüle ederek API'nin kimlik kontrolünü atlayabilir.

Kaynaktaki açıklama (İngilizce)

Control Web Panel (CWP) before webpanel_version 1.16 contains a SQL injection vulnerability in the loopback API authentication gate access_token(), which connects to MySQL as root and interpolates attacker-controlled values directly into its query. Attackers can inject SQL through the authorization_code and client_id parameters to read arbitrary database contents and forge the authentication result, bypassing the API's authentication check.

Ne yapmalı?

  1. Control Web Panel'i 1.16 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme öncesinde panele erişimi, yalnızca güvenilir yönetici adreslerine ve ağlara sınırlandırın. Genel öneri
  3. Güncelleme sonrasında, veritabanı ve API erişim kayıtlarını olağandışı sorgu veya başarılı kimlik doğrulama girişimleri açısından inceleyin. Genel öneri

Ek önlemler

  • Yönetim panellerini ve yerel API uç noktalarını düzenli olarak güncel tutun. Genel öneri
  • Veritabanı kullanıcılarına en az yetki prensibini uygulayın; uygulamanın root olarak bağlanmasından kaçının. Genel öneri
  • Veritabanı sorgularında hata ve beklenmeyen sorgu desenlerini izleyen bir izleme mekanizması kurun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Control Web Panel < 1.16 1.16

Kaynaklar4 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: 7.1 → 7.7
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.