Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-434

CVE-2026-111255

affiliate-toolkit eklentisinde yetkisiz dosya yüklenmesi ve uzaktan kod çalıştırma riski

cservit affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitesinin kontrolünün kötü niyetli kişilerin eline geçmesine yol açabilir. Saldırının gerçekleşmesi için sitede düşük yetkili bir kullanıcı hesabı ve belirli bir eklenti ayarının açık olması gerekir. Yine de müşteri ve iş verilerinin korunması açısından öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

affiliate-toolkit WordPress eklentisinin 3.9.2 ve önceki sürümleri, upload_image fonksiyonundaki yetersiz dosya türü doğrulaması nedeniyle keyfi dosya yüklemeye açıktır. Saldırgan, en az katkıda bulunan (Contributor) yetkisine sahip bir hesapla, eklentide "import product image" seçeneği etkinken çalıştırılabilir dosyalar yükleyebilir. Bu seçenek kapalıysa saldırı mümkün değildir.

Saldırgan ne yapabilir?

Kimlik doğrulaması yapılmış bir saldırgan çalıştırılabilir bir dosya yükleyerek sunucuda uzaktan kod çalıştırabilir; bu da sitenin ele geçirilmesine, veri sızmasına veya değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 3.9.2 via the upload_image function. This is due to insufficient file type validation in upload_image due to a weak Content-Type prefix check and extension derivation from the attacker-controlled URL path, with no dangerous-extension stripping. This makes it possible for authenticated attackers, with contributor-level access and above, to upload files that may be executable, which makes remote code execution possible. Exploitation requires the "import product image" option to be enabled in the plugin settings, as this activates the image download pipeline triggered on product post save.

Ne yapmalı?

  1. Eklentiyi sürüm 3.9.2'den sonraki düzeltilmiş bir sürüme güncelleyin; mevcut veri kaynağında sabit bir sürüm numarası belirtilmemiştir, bu nedenle eklenti yazarının yayınladığı en güncel sürümü kullanın. Genel öneri
  2. Güncelleme yapılana kadar eklentinin ayarlarında "import product image" seçeneğini devre dışı bırakın. Genel öneri
  3. Katkıda bulunan (Contributor) ve üzeri yetkiye sahip hesapları gözden geçirin, gereksiz hesapları kaldırın veya yetkilerini düşürün. Genel öneri
  4. Yüklenmiş dosyaları, özellikle uploads dizinindeki beklenmeyen çalıştırılabilir dosyaları tarayarak kontrol edin ve şüpheli olanları kaldırın. Genel öneri

Ek önlemler

  • Yalnızca güvenilir kullanıcılara yazma yetkisi verin ve eklenti kurulumlarını düzenli olarak denetleyin. Genel öneri
  • Web sunucusunda uploads dizininde betik dosyalarının çalıştırılmasını engelleyecek yapılandırmalar uygulayın. Genel öneri
  • Beklenmeyen dosya oluşturma veya yükleme işlemlerini izlemek için dosya bütünlüğü ve günlük denetimi uygulayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
cservit affiliate-toolkit – Multi-Network Affiliate & Amazon Product Display ≤ 3.9.2 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.