CVE-2026-27179
Açıklama
MajorDoMo (diğer adıyla Major Domestic Module), commands modülünde kimlik doğrulaması gerektirmeyen bir SQL injection zafiyeti içermektedir. commands_search.inc.php dosyası, $_GET['parent'] parametresini herhangi bir temizleme işlemi veya parametreli sorgular kullanmadan doğrudan birden fazla SQL sorgusuna dahil etmektedir. commands modülü, isimle rastgele modülleri dahil eden ve bunların usual() metodunu çağıran /objects/?module=commands uç noktası üzerinden kimlik doğrulaması olmadan yüklenebilmektedir. Zaman tabanlı kör (blind) SQL injection, UNION SELECT SLEEP() sözdizimi kullanılarak istismar edilebilir. MajorDoMo, yönetici parolalarını users tablosunda tuzlanmamış (unsalted) MD5 özetleri olarak sakladığından, başarılı bir istismar kimlik bilgilerinin çıkarılmasına ve ardından yönetici paneline erişime olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mjdm majordomo | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.