Web Ofisi Emlak V2 Inyección SQL (SQL Injection) vía emlak-ara.html

Un atacante puede explotar estas vulnerabilidades de inyección SQL para extraer información sensible de la base de datos, como nombres de usuario, contraseñas, datos de clientes o información financiera. La manipulación de las consultas SQL también podría permitir a un atacante modificar o eliminar datos, comprometiendo la integridad del sistema. El ataque se realiza a través de la inyección de código SQL malicioso en parámetros como emlakdurumu, emlaktipi, il, ilce, kelime y semt. Este tipo de vulnerabilidad es similar a otros ataques de inyección SQL que han afectado a numerosas aplicaciones web, permitiendo el acceso no autorizado a datos críticos.

Organizations utilizing Web Ofisi Emlak V2 (2.0.0–V2) for real estate management are at significant risk. This includes small to medium-sized businesses relying on the system for property listings, client management, and financial tracking. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as a compromise of one user's instance could potentially lead to lateral movement and compromise other users’ data.

• php: Examine web server access logs for requests containing suspicious SQL syntax in GET parameters (e.g., emlak_durumu=1' OR '1'='1). • php: Review the source code of Web Ofisi Emlak, specifically the endpoint handling GET parameters, for unescaped user input used in SQL queries. • generic web: Use curl to test the vulnerable endpoints with various SQL injection payloads:

curl 'http://your-web-ofisi-instance/index.php?emlak_durumu=1' OR '1'='1'

• generic web: Monitor error logs for database-related errors that might indicate a SQL injection attempt.

1. 2026-02-22Disclosure

   disclosure

1. Reservado2026-02-22
2. Publicada2026-02-22
3. Modificada2026-04-07
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar Web Ofisi Emlak V2 a la versión 2.5.4, que incluye las correcciones necesarias para estas vulnerabilidades. Si la actualización no es inmediatamente posible, se recomienda implementar reglas de firewall de aplicaciones web (WAF) para filtrar las solicitudes maliciosas que contienen código SQL inyectado. Además, se deben revisar y validar todas las entradas de usuario para prevenir la inyección de código. Después de la actualización, confirme la mitigación revisando los registros de acceso y buscando intentos de inyección SQL.