- Yama var
- Son 7 gün
- CWE-862
CVE-2026-112347
Kirki WordPress eklentisinde sayfa API'sinde nesne düzeyi yetki denetimi eksikliği
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu güvenlik açığı, düşük yetkili bir çalışan hesabının şirket web sitesindeki diğer içerikleri, örneğin taslakları veya ürünleri, izinsiz değiştirmesine veya yayından kaldırmasına olanak tanıyabilir. Bu da müşteri güvenini ve satış süreçlerini doğrudan etkileyebilir. Eklentinin güncellenmesi, risk ve kesinti süresini azaltmak için öncelikli olarak planlanmalıdır.
ÖzetTürkçe
Kirki WordPress eklentisinin 6.4.1 sürümünden önceki sürümlerinde, sayfa REST API'sindeki bazı uç noktalar ve işleyiciler yalnızca rol bazlı genel bir erişim kontrolüne dayanıyor, her bir içerik için ayrıca yetki denetimi yapılmıyor. Kirki düzenleme yetkisine sahip kullanıcılar, varsayılan olarak Editör rolüyle bu yetkiye sahip olabilir. Etkilenen siteler, Kirki kullanan tüm WordPress kurulumlarıdır.
Saldırgan ne yapabilir?
Saldırgan, kendisine ait olmayan herhangi bir içeriğin (özel tipler ve WooCommerce ürünleri dahil) başlığını, slug değerini ve yayın durumunu değiştirebilir. Bu sayede özel veya taslak içerikler açığa çıkabilir, yayındaki içerikler ise kaldırılabilir.
Kaynaktaki açıklama (İngilizce)
Kirki plugin for WordPress before 6.4.1 contains a broken object-level access control vulnerability in its page REST API, where the PUT /wp-json/kirki/v1/pages/{page_id} route and the save_page_data, duplicate, and delete handlers in PageController.php rely only on a coarse role-to-access middleware check without performing a per-object WordPress capability check. A user with Kirki edit access, granted to the Editor role by default, can exploit this flaw to modify the title, slug, and publication status of any non-trashed post of any post type, including custom post types and WooCommerce products they do not own, exposing private or draft content or removing published content by manipulating the unrestricted post_status field.
Ne yapmalı?
- Kirki eklentisini 6.4.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme öncesinde, Kirki düzenleme yetkisine sahip kullanıcıların listesini gözden geçirin ve gereksiz hesapları kaldırın ya da yetkilerini kısıtlayın. Genel öneri
- Güncelleme sonrasında, yayınlanmış ve taslak içeriklerin başlık, slug ve yayın durumlarında beklenmeyen değişiklik olup olmadığını kontrol edin. Genel öneri
Ek önlemler
- Editör gibi geniş yetkili rollere yalnızca gerçekten gerekli kullanıcılara atama yapın. Genel öneri
- İçerik değişikliklerini ve yayın durumu güncellemelerini izleyen kayıt (log) mekanizmalarını etkinleştirin. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Themeum Kirki | < 6.4.1 | 6.4.1 |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.