- Yama var
- Son 7 gün
- CWE-862
CVE-2026-114120
SchedulePress eklentisinde wpsp_el_editor_form AJAX eyleminde yetki denetimi eksikliği
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SchedulePress eklentisinin 5.3.5 sürümünden önceki sürümleri, yetki denetimi eksikliği (missing authorization) içermektedir. Bu zafiyet, kimliği doğrulanmış Contributor (Katkıda Bulunan) düzeyindeki kullanıcıların wpsp_el_editor_form AJAX eylemi üzerinden herhangi bir yazının durumunu ve yayın tarihini değiştirmesine olanak tanımaktadır. Saldırganlar, Elementor modalından elde edilen wpsp-el-editor nonce değerini yeniden kullanarak yönetici yazılarının yayından kaldırılmasını veya yeniden zamanlanmasını ya da diğer kullanıcıların onay bekleyen veya taslak yazılarının yayımlanmasını sağlayabilir.
Kaynaktaki açıklama (İngilizce)
SchedulePress before 5.3.5 contains a missing authorization vulnerability that allows authenticated Contributor-level users to change any post's status and publish date via the wpsp_el_editor_form AJAX action. Attackers can reuse the wpsp-el-editor nonce from the Elementor modal to unpublish or reschedule administrator posts, or publish other users' pending or draft posts.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WPDeveloper SchedulePress | < 5.3.5 | 5.3.5 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.