PHPNuxBill içinde kimlik doğrulama gerektirmeyen kritik SQL enjeksiyonu
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-108107
- Ciddiyet
- Kritik (CVSS 9.8)
- Firma / ürün
- - / -
Özet
PHPNuxBill 2025.3.20 sürümündeki radius.php FreeRADIUS REST uç noktasında kimlik doğrulama gerektirmeyen bir SQL enjeksiyonu bulunuyor. Saldırganlar, crafted parametrelerle müşteri kayıtlarını ve kimlik bilgilerini elde edebilir.
Ayrıntılar
NVD kaydına göre, PHPNuxBill'in 2025.3.20 ve önceki sürümlerinde radius.php dosyasındaki FreeRADIUS REST uç noktası, gelen istek parametrelerini doğrudan whereRaw() sorgularına ekliyor. Bu durum, kimlik doğrulama gerektirmeyen bir SQL enjeksiyonuna yol açıyor. Saldırganlar, accounting ya da authenticate eylemlerine username, macAddr veya nasid parametrelerini manipüle ederek zaman tabanlı kör SQL enjeksiyonu gerçekleştirebilir ve müşteri kayıtları ile kimlik bilgilerini çıkarabilir. Açığın ciddiyeti kritik (CVSS 9.8).
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin. Güncelleme yayımlandığında derhal uygulayın. Ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.