- Son 7 gün
- CWE-862
CVE-2026-10752
Advanced Custom Fields: Extended eklentisinde yetkisiz dosya eki silme açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, web sitesinin içerik dosyalarından bazılarının kimse tarafından yetkisiz şekilde silinmesine olanak tanıyabilir. Açığın istismarı belirli bir form yapılandırmasına bağlı olsa da, veri kaybı riski nedeniyle güncelleme yapılması önerilir.
ÖzetTürkçe
Advanced Custom Fields: Extended WordPress eklentisinin 0.9.2.6 ve daha eski sürümlerinde, yetki denetimi eksikliği nedeniyle kimliği doğrulanmamış saldırganlar medya kitaplığındaki rastgele eklerin kalıcı olarak silinmesine neden olabilir. Saldırının gerçekleşmesi için sitede, Email eylemi içinde dinamik {field:...} kaynağı kullanan ve Delete seçeneği açık bir gönderilebilir alana bağlı herkese açık bir ACFE formu bulunmalıdır. Bu koşul, eklentiyi kullanan site yöneticilerini etkiler.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan WordPress medya kitaplığındaki rastgele ekleri kalıcı olarak silebilir. Bu durum veri kaybına ve hizmetin aksamasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Advanced Custom Fields: Extended plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 0.9.2.6. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to permanently delete arbitrary WordPress media library attachments by supplying a numeric attachment ID in the form submission without any ownership or capability verification. Exploitation requires a site administrator to have configured a public-facing ACFE form with an Email action whose attachment row uses a dynamic {field:...} source bound to a submittable field with the Delete option enabled.
Ne yapmalı?
- Eklentiyi, açığın giderildiği bir sürüme güncelleyin. Mevcut kaynakta sabit sürüm numarası belirtilmediği için, yayımlanmış en son sürümü kullanın. Genel öneri
- Güncelleme yapılana kadar, Email eyleminde dinamik {field:...} kaynağı kullanan ACFE formlarını devre dışı bırakın ya da herkese açık erişimden kaldırın. Genel öneri
- Medya kitaplığınızın yedeğini alın ve yakın zamanda beklenmedik silme işlemi yapılıp yapılmadığını kontrol edin. Genel öneri
Ek önlemler
- Herkese açık formlarda dosya alanı ve silme seçeneklerinin gerekli olup olmadığını gözden geçirin. Genel öneri
- Medya kitaplığı için düzenli yedekleme yapın ve geri yükleme sürecini test edin. Genel öneri
- Beklenmedik ek silme kayıtlarını izlemek için site günlüklerini düzenli olarak inceleyin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| hwk-fr Advanced Custom Fields: Extended | ≤ 0.9.2.6 | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/ed7f3f80-4d08-440f-b990-b1099a565ed0 Diğer
- plugins.trac.wordpress.org/…udes/modules/form/module-form-action-email.php Diğer
- plugins.trac.wordpress.org/…udes/modules/form/module-form-action-email.php Diğer
- plugins.trac.wordpress.org/changeset/3667996/acf-extended Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.