- Son 7 gün
- CWE-862
CVE-2026-100109
Security For WooCommerce eklentisinde kimlik doğrulamasız yönetici yetkisi yükseltme açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, giriş yapmadan yönetici hesabı oluşturulmasına izin verdiği için son derece kritik bir risktir. Etkilenen bir web sitesi tamamen saldırganın kontrolüne geçebilir ve müşteri verileri ile ödeme süreçleri tehlikeye girebilir. Eklentinin hemen kontrol edilmesi ve güncellenmesi önerilir.
ÖzetTürkçe
Security For WooCommerce WordPress eklentisinin 1.0.10 ile 1.0.16 arasındaki sürümlerinde, usfw_create_temporary_user eylemi için yetki kontrolü yapılmamaktadır. Bu eylem oturum açmamış ziyaretçilere de açık olup, çağıran kişinin yeni hesabın rolünü seçmesine izin vermektedir. Etkilenen sürümleri kullanan WordPress siteleri risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan yönetici hesabı oluşturabilir ve siteyi tamamen ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
The Security For WooCommerce WordPress plugin from 1.0.10 to 1.0.16 does not perform capability checks when creating users through an action available to unauthenticated visitors, and lets the caller choose the new account's role, allowing unauthenticated attackers to create administrator accounts and take over the site.
Ne yapmalı?
- Eklentiyi, etkilenmeyen bir sürüme (1.0.16 sürümünün üzerindeki düzeltilmiş sürüme) güncelleyin. Güvenlik düzeltmesi içeren sürüm için satıcının duyurusunu kontrol edin. Genel öneri
- Güncelleme yapılamıyorsa eklentiyi tamamen devre dışı bırakın veya kaldırın. Genel öneri
- Yetkisiz yönetici hesabı oluşturulup oluşturulmadığını kontrol edin; şüpheli kullanıcıları silin ve yönetici parolalarını değiştirin. Genel öneri
Ek önlemler
- Yönetici kullanıcı listesini ve yeni hesap oluşturma kayıtlarını düzenli olarak izleyin. Genel öneri
- Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Kullanılmayan eklentileri kaldırın ve tüm eklentileri güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Security For WooCommerce | ≥ 1.0.10, ≤ 1.0.16 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/b4d26eb3-ab32-456e-9f69-9ab300fdf44c İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.