- Son 7 gün
- CWE-269
CVE-2026-113615
GS JWT Authentication eklentisinde kimlik doğrulamasız SQL enjeksiyonu ile yetki yükseltme
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, kimlik doğrulaması olmayan herhangi bir kişinin web sitesinin yönetici yetkisini ele geçirmesine olanak tanır. Sitenin içeriği, müşteri verileri ve çalışma düzeni ciddi biçimde tehlikeye girebilir. Eklentinin hemen kaldırılması veya güvenli hale getirilmesi acil bir önceliktir.
ÖzetTürkçe
GS JWT Authentication for WP REST API eklentisinin 1.0.0 dahil olan sürümlerinde, bazı kimlik doğrulaması gerektirmeyen REST uç noktaları istek değerlerini temizlemeden veya parametreleştirmeden SQL sorgularında kullanmaktadır. Bu nedenle eklenti kurulu olan WordPress siteleri etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması yapmadan SQL enjeksiyonu gerçekleştirebilir ve yönetici oturumu elde ederek siteyi tamamen ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
The GS JWT Authentication for WP REST API WordPress plugin through 1.0.0 does not sanitize or parameterize a request value before using it in SQL queries on several unauthenticated REST routes, allowing unauthenticated attackers to perform SQL injection and obtain an administrator session.
Ne yapmalı?
- Bu sorun 1.0.0 ve daha eski sürümleri etkilemektedir. Eklenti için bu sürümden daha yeni, düzeltilmiş bir sürüm yayımlanıp yayımlanmadığını geliştiricinin resmi kaynaklarından kontrol edin; bir düzeltme yoksa eklentiyi devre dışı bırakıp kaldırın. Genel öneri
- Sitede kullanıcı hesaplarını inceleyin, yetkili yönetici hesaplarını ve yeni oluşturulmuş kullanıcıları kontrol edin, şüpheli bir değişiklik varsa parolaları ve oturum anahtarlarını yenileyin. Genel öneri
- Eklenti kaldırıldıktan sonra WordPress yönetici hesaplarının parolalarını değiştirin ve aktif oturumları sonlandırın. Genel öneri
Ek önlemler
- Web sunucusu ve WordPress erişim günlüklerinde REST uç noktalarına yönelik olağan dışı istekleri ve SQL enjeksiyonu belirtilerini izleyin. Genel öneri
- Kullanılmayan WordPress eklentilerini kaldırın ve eklentilerinizi düzenli olarak güncel tutun. Genel öneri
- Veritabanı kullanıcılarına yalnızca gerekli yetkileri verin ve WordPress'in yedeklerini düzenli olarak alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GS JWT Authentication for WP REST API | ≤ 1.0.0 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/40e0b8d1-8e13-4c4c-a09a-9ec07c578662 İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 9.8
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.