Siber g\u00fcvenlik d\u00fcnyas\u0131, her ge\u00e7en g\u00fcn yeni tehditlerle ve zafiyetlerle y\u00fczle\u015fmek zorunda kalmaktad\u0131r. Bu tehditlerden biri olan Cross-Site Scripting (XSS), web uygulamalar\u0131n\u0131n en yayg\u0131n ve tehlikeli zafiyetlerinden biridir. \u00d6zellikle “Stored XSS” (Sakl\u0131 XSS) t\u00fcr\u00fc, sald\u0131rganlar\u0131n k\u00f6t\u00fc niyetli betikleri do\u011frudan sunucu taraf\u0131nda depolayarak, bu betiklerin uygulamay\u0131 ziyaret eden her kullan\u0131c\u0131 taraf\u0131ndan \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131na olanak tan\u0131mas\u0131yla ciddi riskler ta\u015f\u0131r. Bu makalede, osctrl-admin uygulamas\u0131n\u0131n On-Demand Query List \u00f6zelli\u011finde ke\u015ffedilen CVE-2026-28280 kodlu Sakl\u0131 XSS zafiyetini detayl\u0131 bir \u015fekilde inceleyece\u011fiz.<\/p>\n
Herhangi bir yaz\u0131l\u0131mda ke\u015ffedilen g\u00fcvenlik a\u00e7\u0131klar\u0131, genellikle “Common Vulnerabilities and Exposures” (CVE) kimlik numaralar\u0131 ile kataloglan\u0131r. Bu numaraland\u0131rma sistemi, g\u00fcvenlik uzmanlar\u0131n\u0131n ve sistem y\u00f6neticilerinin belirli bir zafiyeti tan\u0131mlamas\u0131n\u0131, izlemesini ve \u00e7\u00f6z\u00fcmlemesini kolayla\u015ft\u0131r\u0131r. CVE-2026-28280 de bu kapsamda, osctrl-admin uygulamas\u0131ndaki kritik bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 temsil etmektedir.<\/p>\n
CVE (Common Vulnerabilities and Exposures), siber g\u00fcvenlik alan\u0131nda bilinen g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 ve maruziyetleri standart bir isimlendirme ile tan\u0131mlayan bir sistemdir. Her CVE kimli\u011fi, belirli bir zafiyet hakk\u0131nda benzersiz bilgiler sunar: etkilenen yaz\u0131l\u0131m, zafiyetin t\u00fcr\u00fc, potansiyel etkisi ve genellikle bir yama veya \u00e7\u00f6z\u00fcm bilgisi. Bu standartla\u015fma, d\u00fcnya genelindeki g\u00fcvenlik profesyonellerinin ortak bir dille ileti\u015fim kurmas\u0131n\u0131 ve tehdit istihbarat\u0131n\u0131 payla\u015fmas\u0131n\u0131 sa\u011flar. CVE-2026-28280 gibi bir kimli\u011fin varl\u0131\u011f\u0131, ilgili zafiyetin ciddiyetini ve kamuoyunda tan\u0131nmas\u0131n\u0131 g\u00f6sterir.<\/p>\n
CVE-2026-28280, osctrl-admin panelinin “On-Demand Query List” (\u0130ste\u011fe Ba\u011fl\u0131 Sorgu Listesi) \u00f6zelli\u011finde bulunan bir Sakl\u0131 Cross-Site Scripting (XSS) zafiyetidir. Bu zafiyet, k\u00f6t\u00fc niyetli bir kullan\u0131c\u0131n\u0131n veya sald\u0131rgan\u0131n, sorgu listesine zararl\u0131 bir JavaScript kodu ekleyebilmesi ve bu kodun, listeyi g\u00f6r\u00fcnt\u00fcleyen di\u011fer kullan\u0131c\u0131lar\u0131n taray\u0131c\u0131lar\u0131nda \u00e7al\u0131\u015ft\u0131r\u0131lmas\u0131na neden olabilmesi anlam\u0131na gelir. Basit\u00e7e ifade etmek gerekirse, sald\u0131rgan\u0131n g\u00f6nderdi\u011fi zararl\u0131 veri, veritaban\u0131na kaydedilir ve daha sonra bir web sayfas\u0131 arac\u0131l\u0131\u011f\u0131yla kullan\u0131c\u0131lara sunuldu\u011funda, taray\u0131c\u0131 taraf\u0131ndan g\u00fcvenli olmayan bir \u015fekilde yorumlan\u0131r.<\/p>\n
Bu zafiyet, osctrl-admin uygulamas\u0131n\u0131n belirli s\u00fcr\u00fcmlerini etkilemektedir. osctrl, u\u00e7 nokta g\u00fcvenli\u011fi ve g\u00f6zlemlenebilirlik i\u00e7in tasarlanm\u0131\u015f bir platformdur ve osctrl-admin, bu platformun y\u00f6netim panelidir. Genellikle, bu t\u00fcr zafiyetler, uygulaman\u0131n giri\u015f do\u011frulama ve \u00e7\u0131k\u0131\u015f kodlama mekanizmalar\u0131ndaki eksikliklerden kaynaklan\u0131r. Kullan\u0131c\u0131lar\u0131n osctrl-admin panellerini en g\u00fcncel ve yamal\u0131 s\u00fcr\u00fcmlere y\u00fckseltmeleri, bu ve benzeri zafiyetlerden korunmak i\u00e7in kritik \u00f6neme sahiptir. Spesifik olarak hangi s\u00fcr\u00fcmlerin etkilendi\u011fi, CVE duyurusunda veya \u00fcretici taraf\u0131ndan sa\u011flanan g\u00fcvenlik b\u00fcltenlerinde belirtilmelidir.<\/p>\n
XSS, web g\u00fcvenli\u011findeki “OWASP Top 10” listesinde s\u00fcrekli yer alan ve en s\u0131k kar\u015f\u0131la\u015f\u0131lan zafiyetlerden biridir. Temelinde, bir web uygulamas\u0131n\u0131n kullan\u0131c\u0131 taraf\u0131ndan sa\u011flanan verileri do\u011fru bir \u015fekilde temizlememesi veya kodlamamas\u0131 sonucu ortaya \u00e7\u0131kar. Bu durum, sald\u0131rganlar\u0131n taray\u0131c\u0131 taraf\u0131nda k\u00f6t\u00fc ama\u00e7l\u0131 betikler \u00e7al\u0131\u015ft\u0131rmas\u0131na olanak tan\u0131r.<\/p>\n
XSS zafiyetleri genellikle \u00fc\u00e7 ana kategoriye ayr\u0131l\u0131r:<\/p>\n
Stored XSS’in \u00f6zelli\u011fi, sald\u0131rgan\u0131n bir kez zafiyeti s\u00f6m\u00fcrd\u00fc\u011f\u00fcnde, beti\u011fin depoland\u0131\u011f\u0131 s\u00fcrece bir\u00e7ok kullan\u0131c\u0131y\u0131 etkileyebilmesidir. Bu durum, \u00f6zellikle y\u00f6netim panelleri veya s\u0131k\u00e7a ziyaret edilen sayfalar i\u00e7in ciddi riskler olu\u015fturur.<\/p>\n
Stored XSS zafiyeti, bir web uygulamas\u0131n\u0131n kullan\u0131c\u0131dan gelen veriyi (\u00f6rne\u011fin, bir form alan\u0131, yorum, profil bilgisi veya osctrl-admin \u00f6rne\u011finde bir sorgu ad\u0131) yeterince do\u011frulamadan veya temizlemeden veritaban\u0131na kaydetmesiyle ba\u015flar. Sald\u0131rgan, bu giri\u015f alan\u0131na HTML etiketleri veya JavaScript kodlar\u0131 i\u00e7eren bir payload (y\u00fck) enjekte eder. Uygulama bu payload’u oldu\u011fu gibi depolar.<\/p>\n
Daha sonra, ba\u015fka bir kullan\u0131c\u0131 (\u00f6rne\u011fin, bir y\u00f6netici veya di\u011fer bir osctrl-admin kullan\u0131c\u0131s\u0131) bu verinin g\u00f6r\u00fcnt\u00fclendi\u011fi sayfay\u0131 ziyaret etti\u011finde, depolanan zararl\u0131 betik taray\u0131c\u0131ya g\u00f6nderilir. Taray\u0131c\u0131, bu beti\u011fi sayfan\u0131n bir par\u00e7as\u0131 olarak alg\u0131lar ve \u00e7al\u0131\u015ft\u0131r\u0131r. Bu, sald\u0131rgan\u0131n kullan\u0131c\u0131n\u0131n oturum bilgilerini \u00e7almas\u0131na, taray\u0131c\u0131s\u0131n\u0131 ba\u015fka bir siteye y\u00f6nlendirmesine, sahte i\u00e7erik g\u00f6stermesine veya kullan\u0131c\u0131n\u0131n ad\u0131na yetkisiz i\u015flemler yapmas\u0131na olanak tan\u0131r.<\/p>\n
Stored XSS’in temel nedeni, web uygulamas\u0131n\u0131n kullan\u0131c\u0131dan gelen girdileri yeterince do\u011frulamamas\u0131d\u0131r. Bir web uygulamas\u0131, kullan\u0131c\u0131dan gelen her veriyi potansiyel olarak k\u00f6t\u00fc niyetli kabul etmeli ve bu veriyi depolamadan veya g\u00f6r\u00fcnt\u00fclemeden \u00f6nce s\u0131k\u0131 bir \u015fekilde filtrelemelidir. Giri\u015f do\u011frulama eksiklikleri \u015funlar\u0131 i\u00e7erebilir:<\/p>\n
<<\/code>, ><\/code>, \"<\/code>, '<\/code>, &<\/code> vb.) girmesini engelleyecek veya bunlar\u0131 g\u00fcvenli alternatifleriyle de\u011fi\u015ftirecek bir mekanizman\u0131n olmamas\u0131.<\/li>\n- Beyaz Liste Yerine Kara Liste Yakla\u015f\u0131m\u0131:<\/strong> G\u00fcvenli kabul edilen karakterlere izin vermek yerine, bilinen k\u00f6t\u00fc karakterleri engellemeye \u00e7al\u0131\u015fmak. Kara liste yakla\u015f\u0131m\u0131 genellikle eksiktir ve atlat\u0131labilir.<\/li>\n
- Sunucu Taraf\u0131 Do\u011frulama Eksikli\u011fi:<\/strong> Yaln\u0131zca istemci taraf\u0131nda (taray\u0131c\u0131da) yap\u0131lan do\u011frulama kolayca atlat\u0131labilir. Sunucu taraf\u0131nda da sa\u011flam do\u011frulama yap\u0131lmas\u0131 \u015fartt\u0131r.<\/li>\n<\/ul>\n
osctrl-admin'deki CVE-2026-28280, b\u00fcy\u00fck olas\u0131l\u0131kla \"On-Demand Query List\" \u00f6zelli\u011fi i\u00e7in g\u00f6nderilen sorgu adlar\u0131n\u0131n veya a\u00e7\u0131klamalar\u0131n\u0131n bu t\u00fcr bir do\u011frulama eksikli\u011finden muzdarip oldu\u011funu g\u00f6stermektedir.<\/p>\n
3. osctrl-admin ve On-Demand Query List \u00d6zelli\u011fi<\/h2>\n
osctrl, modern u\u00e7 nokta g\u00fcvenli\u011fi ve g\u00f6zlemlenebilirlik ihtiya\u00e7lar\u0131n\u0131 kar\u015f\u0131lamak \u00fczere tasarlanm\u0131\u015f g\u00fc\u00e7l\u00fc bir platformdur. Bu platformun y\u00f6netim aray\u00fcz\u00fc olan osctrl-admin, sistem y\u00f6neticilerine ve g\u00fcvenlik analistlerine a\u011fdaki u\u00e7 noktalar\u0131 izleme, sorgulama ve y\u00f6netme yetene\u011fi sunar.<\/p>\n
osctrl-admin'e Genel Bak\u0131\u015f<\/h3>\n
osctrl-admin, osctrl ekosisteminin merkezi y\u00f6netim panelidir. Bu panel arac\u0131l\u0131\u011f\u0131yla kullan\u0131c\u0131lar, a\u011fa ba\u011fl\u0131 t\u00fcm u\u00e7 noktalardan (sunucular, i\u015f istasyonlar\u0131 vb.) telemetri verilerini toplayabilir, ger\u00e7ek zamanl\u0131 sorgular \u00e7al\u0131\u015ft\u0131rabilir, g\u00fcvenlik olaylar\u0131n\u0131 izleyebilir ve \u00e7e\u015fitli yap\u0131land\u0131rmalar\u0131 y\u00f6netebilirler. G\u00fcvenlik operasyon merkezleri (SOC) ve IT ekipleri i\u00e7in vazge\u00e7ilmez bir ara\u00e7t\u0131r. Y\u00f6netim panelinin web tabanl\u0131 olmas\u0131, eri\u015filebilirli\u011fi art\u0131r\u0131rken, ayn\u0131 zamanda web uygulamalar\u0131na \u00f6zg\u00fc g\u00fcvenlik zafiyetlerine kar\u015f\u0131 da savunmas\u0131z hale gelmesine neden olabilir.<\/p>\n
On-Demand Query List'in Fonksiyonu<\/h3>\n
\"On-Demand Query List\" (\u0130ste\u011fe Ba\u011fl\u0131 Sorgu Listesi) \u00f6zelli\u011fi, osctrl-admin kullan\u0131c\u0131lar\u0131n\u0131n \u00f6nceden tan\u0131mlanm\u0131\u015f veya \u00f6zel olarak olu\u015fturulmu\u015f sorgular\u0131 kaydetmelerine ve gerekti\u011finde bu sorgular\u0131 u\u00e7 noktalarda \u00e7al\u0131\u015ft\u0131rmalar\u0131na olanak tan\u0131r. \u00d6rne\u011fin, bir y\u00f6netici belirli bir k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m\u0131n varl\u0131\u011f\u0131n\u0131 kontrol etmek veya belirli bir yap\u0131land\u0131rma ayar\u0131n\u0131 denetlemek i\u00e7in bir sorgu olu\u015fturup kaydedebilir. Bu sorgular daha sonra tekrar tekrar kullan\u0131labilir veya di\u011fer ekip \u00fcyeleriyle payla\u015f\u0131labilir.<\/p>\n
Bu \u00f6zellik, verimlilik ve otomasyon a\u00e7\u0131s\u0131ndan b\u00fcy\u00fck avantajlar sunar. Ancak, CVE-2026-28280 \u00f6rne\u011finde g\u00f6r\u00fcld\u00fc\u011f\u00fc gibi, kullan\u0131c\u0131 taraf\u0131ndan girilen sorgu adlar\u0131 veya a\u00e7\u0131klamalar\u0131 gibi meta verilerin d\u00fczg\u00fcn bir \u015fekilde i\u015flenmemesi, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131na yol a\u00e7abilir.<\/p>\n
Zafiyetin Ortaya \u00c7\u0131kt\u0131\u011f\u0131 Ba\u011flam<\/h3>\n
CVE-2026-28280, tam da bu \"On-Demand Query List\" \u00f6zelli\u011fi i\u00e7inde ortaya \u00e7\u0131km\u0131\u015ft\u0131r. Sald\u0131rgan, yeni bir sorgu tan\u0131mlarken veya mevcut bir sorguyu d\u00fczenlerken, sorgunun ad\u0131n\u0131, a\u00e7\u0131klamas\u0131n\u0131 veya di\u011fer metin alanlar\u0131n\u0131 k\u00f6t\u00fc niyetli bir JavaScript koduyla doldurur. Uygulama, bu girdiyi veritaban\u0131na kaydederken herhangi bir sanitizasyon (temizleme) veya kodlama i\u015flemi yapmaz.<\/p>\n
Daha sonra, bir y\u00f6netici veya ba\u015fka bir yetkili kullan\u0131c\u0131, bu sorgu listesini g\u00f6r\u00fcnt\u00fclemek \u00fczere osctrl-admin paneline girdi\u011finde, sald\u0131rgan\u0131n enjekte etti\u011fi betik, kullan\u0131c\u0131n\u0131n taray\u0131c\u0131s\u0131nda \u00e7al\u0131\u015ft\u0131r\u0131l\u0131r. Bu durum, sald\u0131rgan\u0131n kullan\u0131c\u0131n\u0131n oturum \u00e7erezlerini \u00e7almas\u0131ndan, taray\u0131c\u0131s\u0131n\u0131 ba\u015fka bir siteye y\u00f6nlendirmesine kadar geni\u015f bir yelpazede k\u00f6t\u00fc ama\u00e7l\u0131 eylemler ger\u00e7ekle\u015ftirmesine olanak tan\u0131r.<\/p>\n
4. Sald\u0131r\u0131 Senaryosu ve Potansiyel Etkiler<\/h2>\n
Stored XSS zafiyetleri, basit bir uyar\u0131 mesaj\u0131 g\u00f6stermekten, kritik sistemlere tam kontrol sa\u011flamaya kadar \u00e7e\u015fitli sald\u0131r\u0131 senaryolar\u0131na olanak tan\u0131r. osctrl-admin gibi kritik bir y\u00f6netim panelinde b\u00f6yle bir zafiyetin bulunmas\u0131, potansiyel etkilerini daha da art\u0131rmaktad\u0131r.<\/p>\n
Sald\u0131r\u0131 Ad\u0131mlar\u0131 ve Senaryosu<\/h3>\n
Bir sald\u0131rgan\u0131n CVE-2026-28280'i nas\u0131l s\u00f6m\u00fcrebilece\u011fine dair tipik bir senaryo \u015fu ad\u0131mlar\u0131 i\u00e7erebilir:<\/p>\n
\n- Giri\u015f Noktas\u0131n\u0131 Bulma:<\/strong> Sald\u0131rgan, osctrl-admin panelinde \"On-Demand Query List\" \u00f6zelli\u011fine eri\u015fim sa\u011flar (ya ge\u00e7erli bir kullan\u0131c\u0131 hesab\u0131 edinerek ya da ba\u015fka bir zafiyet arac\u0131l\u0131\u011f\u0131yla).<\/li>\n
- K\u00f6t\u00fc Niyetli Y\u00fck Enjeksiyonu:<\/strong> Sald\u0131rgan, yeni bir sorgu olu\u015fturur veya mevcut bir sorguyu d\u00fczenler. Sorgunun ad\u0131, a\u00e7\u0131klamas\u0131 veya ba\u015fka bir metin alan\u0131na a\u015fa\u011f\u0131daki gibi bir JavaScript payload'u ekler:\n