https://blog.kalfaoglu.net/tr/tags/sql-injection/Recent content in Sql-Injection on kalfaoglu.netHugotrTue, 13 Oct 2026 00:00:00 +0000https://blog.kalfaoglu.net/tr/posts/2026-10-13-dovecot-cve-2026-40018-mysql-injection-tr/Tue, 13 Oct 2026 00:00:00 +0000https://blog.kalfaoglu.net/tr/posts/2026-10-13-dovecot-cve-2026-40018-mysql-injection-tr/<p>Dovecot&rsquo;un güvenlik sayfası, 28 Ağustos 2026&rsquo;da yüksek önemdeli yeni bir güvenlik açığı duyurusu yayımladı. Büyük Linux dağıtımları yamalı paketleri yaklaşık altı hafta sonra gönderdi; Red Hat&rsquo;in RHEL 10 için hazırladığı güncelleme <a href="https://vulners.com/redhat/RHSA-2026:79371-CVE-2026-40018">8 Ekim 2026</a>&lsquo;de yayımlandı. MySQL veya MariaDB arka ucuyla Dovecot çalıştırıyorsanız ve son zamanlarda güncelleme yapmadıysanız okumaya devam edin.</p> <h2 id="açık-nedir">Açık Nedir?</h2> <p><a href="https://app.opencve.io/cve/CVE-2026-40018">CVE-2026-40018</a>, Dovecot&rsquo;un MySQL sürücüsündeki bir SQL enjeksiyonu açığıdır (CWE-89). SQL sorgu parametrelerini temizleyen kaçış işlevi, belirli çok baytlı karakter dizileri sırasında SQL bağlantısının düşüp yeniden kurulması durumunda karakter seti bilgisinden habersiz bir kaçış çağrısına geri döner. Bu anda hazırlanmış bir girdi gönderebilen bir saldırgan — örneğin bozuk bir kullanıcı adı ya da parola dizisiyle — beklenen SQL bağlamının dışına çıkabilir ve hassas verileri okuyabilir ya da değiştirebilir.</p>