- Yama var
- Son 7 gün
- CWE-269
CVE-2026-111982
Profile Builder eklentisinde Multisite alt site yöneticisi, Ağ Süper Yöneticisi hesabını ele geçirebiliyor
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen User Profile Builder eklentisinin 4.0.5 sürümünden önceki sürümleri, ön yüzdeki Profil Düzenle formunda seçilen hesabın düzenlenmesine yetkisi olup olmadığını doğrulamamaktadır. Bu durum, bir Multisite alt sitesinin Yöneticisinin, Ağ Süper Yöneticisi dahil diğer tüm kullanıcıların hesap e-posta adresini değiştirmesine izin vermekte ve ardından parola sıfırlama akışı üzerinden o hesabı ele geçirmesine olanak tanımaktadır.
Kaynaktaki açıklama (İngilizce)
The User Profile Builder WordPress plugin before 4.0.5 does not verify that a user is authorized to edit the specific account selected on its front-end Edit Profile form, allowing an Administrator of a Multisite subsite to change any other user's account email, including a Network Super Admin's, and take over that account through the password-reset flow.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| User Profile Builder | < 4.0.5 | 4.0.5 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/b7d1fd86-3927-4cf2-88ed-46401e347320 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.