KobiKom'da giriş gerektirmeyen SQL injection ve dizin geçişi açıkları kapatıldı

Siber Güvenlik Başkanlığı, 5 Kasım’da yayımladığı TR-26-1467 numaralı bildirimde, Kobikom Telekomünikasyon ve Bilişim Hizmetleri A.Ş.’nin geliştirdiği KobiKom ürününde güvenlik açıkları tespit edildiğini duyurdu. Başkanlığa göre bu açıklar nedeniyle siber saldırganların saldırı gerçekleştirmesi ihtimal dahilinde. Açıklar CVE-2026-105321 ve CVE-2026-104720 numaralarıyla izleniyor. Ürünün ne işe yaradığı bildirimde ve CVE kayıtlarında belirtilmiyor.

Açıklar

CVE kayıtlarına göre:

• CVE-2026-105321: SQL komutlarında kullanılan özel karakterlerin yeterince etkisizleştirilmemesi (SQL injection) açığı. Kayıtta CWE sınıfı CWE-89, açığı bulan kişi olarak Mustafa Öztürk gösteriliyor.
• CVE-2026-104720: Bir dosya yolunun izin verilen klasörle yeterince sınırlandırılmaması (path traversal) açığı. Kayıtta CWE sınıfı CWE-22, açığı bulan kişi olarak Ramazan Mert Gökten gösteriliyor.

İki açığın da CVE kaydındaki CVSS 3.1 puanı 7.5, yani yüksek önemde. Puanlamaya göre açıklar ağ üzerinden, giriş yapmadan ve kullanıcı etkileşimi olmadan kullanılabiliyor. Gizliliğe etkileri yüksek, bütünlüğe ve erişilebilirliğe etkileri yok. CVE kayıtlarını TR-CERT yayımladı. Kayıtlarda açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kayıtlarına göre açıklar KobiKom’un KobiPBX-FOP3-SEC-r1 öncesi sürümlerini etkiliyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az KobiPBX-FOP3-SEC-r1 sürümüne ya da sonrasına yükseltilmesini öneriyor.