Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-287

CVE-2026-103898

Wp Social Login and Register Social Counter eklentisinde kimlik doğrulamasız oturum ele geçirme (3.2.2 ve öncesi)

roxnor Wp Social Login and Register Social Counter

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
31 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, saldırganların site yöneticilerinin hesaplarına parolasız erişim kazanmasına olanak tanıyabilir ve sitenin tamamen ele geçirilmesine yol açabilir. Sitenizde bu eklenti ve Facebook veya Twitter ile sosyal giriş kullanılıyorsa, işletme açısından yüksek risk taşıyor ve acil işlem gerektiriyor.

ÖzetTürkçe

WordPress için geliştirilen Wp Social Login and Register Social Counter eklentisinin 3.2.2 dahil önceki sürümlerinde, sosyal giriş geri çağırma uç noktası yetkilendirme kontrolü olmadan erişilebilir durumda. Uç nokta, OAuth sağlayıcısının döndürdüğü e-posta adresini eşleştirerek mevcut bir WordPress hesabını buluyor ve parola doğrulaması yapmadan oturum açıyor. E-posta doğrulama kontrolü, paketle gelen Facebook ve Twitter adaptörlerinde işlevsiz kaldığı için sorun bu sağlayıcılarla yapılandırılmış siteleri etkiliyor.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması yapmadan, e-posta adresi hedef hesapla eşleşen herhangi bir mevcut WordPress kullanıcısı adına tam yetkili oturum elde edebilir; bu durumda yönetici hesapları da dahil olmak üzere site üzerinde tam kontrol sağlanabilir.

Kaynaktaki açıklama (İngilizce)

The Wp Social Login and Register Social Counter plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 3.2.2. This is due to the social login REST callback registered at /wp-json/wslu-social-login/type/{provider}/ with permission_callback => __return_true locating an existing WordPress account solely by the email string returned from the OAuth provider and calling wp_set_auth_cookie() without a password check, while the only verification guard — !empty($getProfile->emailVerified) in inc/admin-create-user.php — is a no-op for the bundled Hybridauth Facebook and Twitter adapters, both of which assign the raw email string rather than a boolean verified flag to emailVerified. This makes it possible for unauthenticated attackers to obtain a fully authenticated session as any existing WordPress user, including Administrators, whose registered email address can be presented through a configured Facebook or Twitter login on the target site. Exploitation requires only that the attacker control an OAuth account whose provider-returned email matches the target account's registered WordPress email address; no local credentials, nonce, or prior foothold is needed.

Ne yapmalı?

  1. Eklentiyi 3.2.2 sürümünün üzerindeki, açığı giderdiği belirtilen bir sürüme güncelleyin. Güncel sürüm bilgisi için eklentinin resmi kaynağını kontrol edin; bu veri setinde sabit sürüm numarası belirtilmemiştir. Genel öneri
  2. Güncelleme yapılana kadar eklentinin sosyal giriş özelliğini devre dışı bırakın veya eklentiyi kaldırın. Genel öneri
  3. Yönetici hesapları dahil tüm WordPress kullanıcılarının e-posta adreslerini ve son oturum açma kayıtlarını inceleyin; tanımadığınız oturumları sonlandırın. Genel öneri
  4. Yönetici hesapları için parolaları yenileyin ve mümkünse iki faktörlü doğrulamayı etkinleştirin. Genel öneri

Ek önlemler

  • Sosyal giriş ile kayıt olan kullanıcıların e-posta adreslerinin sağlayıcı tarafından gerçekten doğrulanmış olduğundan emin olun. Genel öneri
  • Yönetici hesapları için sosyal girişi kapatın; yönetici girişini yalnızca yerel parola ve iki faktörlü doğrulama ile yapın. Genel öneri
  • Beklenmeyen yönetici oturumları veya yeni oluşturulmuş yönetici hesapları için web sunucusu ve WordPress erişim günlüklerini düzenli olarak izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
roxnor Wp Social Login and Register Social Counter ≤ 3.2.2 –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.