Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-287

CVE-2026-110956

asVereinbase WordPress eklentisinde kimlik doğrulamasız 2FA bypass zafiyeti

asVereinbase

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
4 gün
Kaydı açan
WPScan

Yönetici özeti

Bu açık, web sitenizin yönetim alanına herhangi bir kimlik bilgisi olmadan girilmesine izin verebilir. Yönetici hesabının ele geçirilmesi hem veri kaybı hem de itibar zararı riskini ciddi biçimde artırır. Eklentinin güncellenmesi acil bir öncelik olmalıdır.

ÖzetTürkçe

asVereinbase WordPress eklentisinin 1.1.8 öncesi sürümlerinde, kullanıcı kimlik doğrulaması sırasında geçerli bir parola veya gerçek bir ikinci doğrulama faktörü zorunlu tutulmamaktadır. Saklanan değer boş olduğunda sistem bunu eşleşme olarak kabul etmektedir. Eklentiyi kullanan WordPress siteleri etkilenmektedir.

Saldırgan ne yapabilir?

Saldırgan kimlik doğrulaması yapmadan herhangi bir kullanıcı adına, yönetici hesapları dahil, giriş yapabilir. Bu durum sitenin tam kontrolünün ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The asVereinbase WordPress plugin before 1.1.8 does not require a valid password or a genuine second factor before authenticating a user, treating an empty stored value as a match, so an unauthenticated attacker can log in as any user, including an administrator.

Ne yapmalı?

  1. asVereinbase eklentisini 1.1.8 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı değerlendirin. Genel öneri
  3. Yönetici hesaplarının son giriş kayıtlarını ve beklenmeyen oturumları inceleyin; şüpheli bir giriş tespit edilirse parolaları değiştirin. Genel öneri

Ek önlemler

  • Yönetici hesapları için güçlü, benzersiz parolalar kullanın ve mümkünse ek bir kimlik doğrulama yöntemini uygulayın. Genel öneri
  • Yönetici paneline erişimi IP kısıtlaması veya web uygulama güvenlik duvarı ile sınırlandırmayı düşünün. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
asVereinbase < 1.1.8 1.1.8

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.