- Yama var
- Son 7 gün
- CWE-94
CVE-2026-115301
Contact Form by Supsystic eklentisinde şablon motoru üzerinden sunucu tarafı şablon enjeksiyonu (SSTI)
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, yönetici hesabını ele geçiren bir saldırganın tüm web sitesini ve sunucudaki gizli bilgileri tamamen ele geçirmesine yol açabilir. Etkilenen siteler ziyaretçilere de zarar verebileceği için öncelikli olarak güncelleme yapılması gerekir.
ÖzetTürkçe
Contact Form by Supsystic WordPress eklentisinin 1.11.1 sürümünden önceki sürümlerinde, form düzenleyicisinde saklanan içerik şablon motoru tarafından sandbox ortamı olmadan işlenmektedir. Bu nedenle yönetici yetkisine sahip bir kullanıcı, kaydettiği içeriğe şablon kodu ekleyerek sunucuda keyfi kod çalıştırabilir. Eklenti kullanan tüm WordPress siteleri etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan, sunucuda keyfi kod çalıştırabilir ve kimlik doğrulama tuzları ile veritabanı kimlik bilgileri gibi sunucu tarafındaki gizli bilgilere erişebilir. Enjekte edilen kod, formun bulunduğu sayfayı açan herhangi bir ziyaretçide çalıştığı için kimlik doğrulaması yapılmamış ziyaretçiler de bu bilgilere ulaşabilir.
Kaynaktaki açıklama (İngilizce)
The Contact Form by Supsystic WordPress plugin before 1.11.1 does not sandbox the template engine used to render its forms and allows stored form-editor content to reach that engine as executable template code, enabling an administrator to perform server-side template injection and execute arbitrary code on the server. The injected template is compiled and executed whenever any visitor loads a page containing the form, so the stored payload also lets an unauthenticated visitor read server-side secrets such as authentication salts and database credentials.
Ne yapmalı?
- Contact Form by Supsystic eklentisini 1.11.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncellemeden önce yönetici hesaplarını gözden geçirin ve yetkisiz veya bilinmeyen yöneticileri kaldırın. Genel öneri
- Form düzenleyicisinde saklanan içerikleri şablon kodu veya beklenmedik ifadeler açısından inceleyin. Genel öneri
- Sunucuda kimlik doğrulama tuzları ve veritabanı parolaları gibi gizli bilgilerin değiştirilmesini değerlendirin; bir ihlal şüphesi varsa bunları yenileyin. Genel öneri
Ek önlemler
- Yönetici hesaplarında güçlü parola ve çok faktörlü kimlik doğrulama kullanın ve gereksiz yönetici yetkilerini kaldırın. Genel öneri
- Eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Form içeriği ve yönetici işlemleri için günlük kayıtlarını izleyin; beklenmedik içerik değişikliklerine dikkat edin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Contact Form by Supsystic | < 1.11.1 | 1.11.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/15274345-5ad4-456f-9b5e-40d575ecb272 İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 7.2
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.