- Son 7 gün
- CWE-502
CVE-2026-112862
Participants Database WordPress eklentisinde PHP nesne enjeksiyonu zafiyeti
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu zafiyet, web sitenizde kullanılan bir eklentide bulunmakta ve kimlik doğrulaması gerektirmeden istismar edilebilmektedir. Başarılı bir saldırı, sitenin tamamen ele geçirilmesine ve müşteri verilerinin ifşa veya değiştirilmesine yol açabilir. Bu nedenle en kısa sürede güncelleme yapılması ve etkilenen sitelerin kontrol edilmesi önerilir.
ÖzetTürkçe
Participants Database WordPress eklentisinin 2.7.8.5 ve önceki sürümlerinde, güvenilmeyen verinin deserialization işleminden geçirilmesinden kaynaklanan bir PHP nesne enjeksiyonu (CWE-502) zafiyeti bulunmaktadır. Zafiyet, xnau webdesign tarafından geliştirilen eklentiyi kullanan tüm siteleri etkilemektedir. Bu sürümlerden birini çalıştıran WordPress siteleri risk altındadır.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, zararlı serileştirilmiş veri göndererek sunucuda uzaktan kod çalıştırmaya ya da veritabanı ve dosya sistemi üzerinde kontrol sağlamaya yol açabilecek nesneler enjekte edebilir. CVSS puanı 9.8 (kritik) olarak belirlenmiştir.
Kaynaktaki açıklama (İngilizce)
Deserialization of Untrusted Data vulnerability in xnau webdesign Participants Database participants-database allows Object Injection.This issue affects Participants Database: from n/a through 2.7.8.5.
Ne yapmalı?
- Eklentinin 2.7.8.5 sürümünden daha yeni, düzeltilmiş bir sürümü mevcutsa hemen güncelleyin. Güncel sürüm bilgisi için eklentinin resmi kaynağını kontrol edin. Genel öneri
- Güncelleme yapılamıyorsa eklentiyi geçici olarak devre dışı bırakın veya kaldırın. Genel öneri
- Sitenizde yetkisiz oluşturulmuş yönetici hesapları, beklenmeyen dosyalar veya değiştirilmiş kodlar olup olmadığını inceleyin. Genel öneri
Ek önlemler
- Web uygulaması güvenlik duvarı (WAF) üzerinden şüpheli serileştirilmiş veri içeren istekleri izleyin ve engelleyin. Genel öneri
- Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Sunucu erişim ve hata günlüklerini olağandışı POST istekleri ve beklenmeyen süreç çalıştırma girişimleri açısından düzenli olarak inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| xnau webdesign Participants Database | ≤ 2.7.8.5 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.