- Yama var
- Son 7 gün
- CWE-269
CVE-2026-115214
Datawiza Proxy Auth Plugin'de kimlik doğrulamasız yetki yükseltme açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, saldırganların şifre bilmeden web sitenizin en yetkili yönetici hesabını ele geçirmesine olanak tanır. Sitenizin tamamen kontrol dışına çıkması, müşteri verilerinin sızması ve itibar kaybı gibi ciddi iş riskleri doğurabilir. Eklentiyi kullanıyorsanız bu güncellemeyi derhal uygulamanız gerekir.
ÖzetTürkçe
Datawiza Proxy Auth Plugin WordPress eklentisinin 1.1.1 öncesi sürümlerinde, kullanıcı kimliğini ve rolünü belirten HTTP istek başlıklarının güvenilir bir ters proxy'den gelip gelmediği doğrulanmıyor. Bu nedenle kimlik doğrulaması yapılmamış saldırganlar sahte başlıklar göndererek sisteme giriş yapabilir. Etkilenen sürümler 1.1.0 ve 1.1.1 öncesi tüm sürümlerdir.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan WordPress yönetici hesabı oluşturup bu hesapla oturum açabilir. Bu durum sitenin tam kontrolünün ele geçirilmesi, veri sızıntısı, içerik değişikliği ve kötü amaçlı kod yüklenmesi anlamına gelir.
Kaynaktaki açıklama (İngilizce)
The Datawiza Proxy Auth Plugin WordPress plugin before 1.1.1 does not verify that the user-identity and role HTTP request headers it trusts originate from a trusted reverse proxy, allowing unauthenticated attackers to create and authenticate as a WordPress administrator.
Ne yapmalı?
- Datawiza Proxy Auth Plugin eklentisini 1.1.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden önce eklentiyi devre dışı bırakmayı değerlendirin; eklenti gerekli değilse tamamen kaldırın. Genel öneri
- Sitedeki yönetici kullanıcı listesini inceleyin ve tanımadığınız veya yakın zamanda oluşturulmuş yönetici hesaplarını silin. Genel öneri
- Yönetici hesaplarının parolalarını değiştirin ve açık oturumları sonlandırın. Genel öneri
Ek önlemler
- Yönetici paneline erişimi IP beyaz listesi veya ek kimlik doğrulama katmanıyla kısıtlayın. Genel öneri
- Yeni yönetici hesabı oluşturulmasını ve yetki değişikliklerini izleyen kayıt tutma ve uyarı mekanizmaları kurun. Genel öneri
- Kimlik bilgilerini taşıyan HTTP başlıklarını yalnızca güvenilen proxy'lerden kabul edecek şekilde sunucu ve ağ yapılandırmanızı gözden geçirin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Datawiza Proxy Auth Plugin | ≥ 1.1.0, < 1.1.1 | 1.1.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/2c6c7d10-2281-4a98-a0d6-769da5cce416 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.