Starnet'in Stok Takip Uygulaması'nda giriş gerektirmeyen SQL injection açığı

Siber Güvenlik Başkanlığı, 2 Kasım’da yayımladığı TR-26-1441 numaralı bildirimde, Starnet Bilgisayar ve Network Sistemleri’nin geliştirdiği Stok Takip Uygulaması’nda bir güvenlik açığı tespit edildiğini duyurdu. Başkanlığa göre açık nedeniyle siber saldırganların bu açığı kullanarak saldırı gerçekleştirmesi ihtimal dahilinde. Açık CVE-2026-74993 numarasıyla izleniyor.

Açığın kaynağı

CVE kaydına göre açık, SQL komutlarında kullanılan özel karakterlerin temizlenmemesinden kaynaklanan bir SQL injection açığı. Kayıttaki CVSS 3.1 puanı 7.5. Puanlamaya göre açık ağ üzerinden, saldırganın bir hesabı olmadan ve kullanıcı etkileşimi gerekmeden istismar edilebiliyor. Açık gizliliği yüksek düzeyde etkileyebiliyor, puanlamaya göre bütünlüğü ve erişilebilirliği ise etkilemiyor. CVE kaydını TR-CERT yayımladı ve açığı bulan kişi olarak Didem Kış gösteriliyor. Kayıtta açığın saldırılarda kullanıldığına dair bir bilgi yok.

Etkilenen sürümler

CVE kaydına göre açık, uygulamanın 16 Ekim 2026 tarihli sürümü dahil o tarihe kadarki bütün sürümlerini etkiliyor. Siber Güvenlik Başkanlığı’nın bildirimi ise uygulamanın en az 16.10.2026 tarihli sürüme yükseltilmesini öneriyor. Bildirim ile CVE kaydındaki sürüm bilgisi arasındaki bu fark açıklanmıyor.

Önerilen önlemler

Siber Güvenlik Başkanlığı, uygulamanın en az 16.10.2026 tarihli sürüme ya da sonrasına yükseltilmesini öneriyor.