Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-269

CVE-2026-104799

Mobile builder eklentisinde yetki yükseltme açığı (WordPress, <= 1.4.2)

rnlab Mobile builder

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, sitenize kayıt olabilen herhangi bir kullanıcının kendini yönetici yapmasına olanak tanıyor. Yönetici yetkisi ele geçirildiğinde müşteri ve kullanıcı verileri çalınabilir veya değiştirilebilir, site tamamen kontrol dışı kalabilir. Bu nedenle risk yüksektir ve güncelleme hemen yapılmalıdır.

ÖzetTürkçe

Mobile builder WordPress eklentisinin 1.4.2 sürümü ve daha eski tüm sürümlerinde, REST uç noktasındaki meta anahtarı kontrolü hatalı çalışmaktadır. Bu kontrol, 'mobile_builder' içermeyen anahtarları da kabul ettiği için kimlik doğrulaması yapılmış ve en düşük Subscriber düzeyindeki bir kullanıcı, kendi hesabının kullanıcı meta verilerini değiştirebilmektedir. Etkilenen siteler, kayıt olmuş kullanıcılara açık olan WordPress kurulumlarıdır.

Saldırgan ne yapabilir?

Saldırgan, kendi hesabının yetki bilgisini (wp_capabilities gibi) değiştirerek Administrator yetkisi elde edebilir ve siteyi tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

The Mobile builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 1.4.2 via the wcfmmp_profile_settings() REST handler exposed at POST /mobile-builder/v1/wcfm-profile-settings. This is due to a PHP loose-comparison logic flaw in the meta key allow-list check — strpos( $key, 'mobile_builder' ) == 0 evaluates to true for any key that does *not* contain the substring 'mobile_builder' because strpos() returns false on no match and false == 0 is true in PHP — combined with a permission_callback (user_permissions_check) that grants access to any authenticated user by only verifying $user->exists(). This makes it possible for authenticated attackers, with Subscriber-level access and above, to pass an unsanitized data array via the key and data parameters directly to update_user_meta(), overwriting arbitrary user meta on their own account — including the wp_capabilities meta key — to grant themselves Administrator-level privileges.

Ne yapmalı?

  1. Mobile builder eklentisini 1.4.2 sürümünden daha yeni bir sürüme güncelleyin. Güncelleme sonrası sürümün düzeltilmiş olduğunu doğrulayın. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakın veya kullanıcıların kayıt olmasını geçici olarak kapatın. Genel öneri
  3. Yönetici kullanıcı listesini inceleyin ve tanımadığınız ya da yakın zamanda yetki değiştirilmiş hesapları kontrol edip gerekirse yetkilerini düşürün. Genel öneri

Ek önlemler

  • Üyelik kaydını ve yeni kullanıcı rollerini düzenli olarak denetleyin; varsayılan rol dışında beklenmeyen yetki değişikliklerini izleyin. Genel öneri
  • Eklentilerinizi ve WordPress çekirdeğinizi güncel tutun; kullanmadığınız eklentileri tamamen kaldırın. Genel öneri
  • Yönetici hesapları için güçlü parola ve çok faktörlü kimlik doğrulama kullanın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
rnlab Mobile builder ≤ 1.4.2 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.