- Son 7 gün
- CWE-434
CVE-2026-115346
Avada WordPress teması (7.16.2 ve öncesi) kimlik doğrulamasız rastgele dosya yükleme açığı
ThemeFusion Avada | Website Builder For WordPress & WooCommerce
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, yaygın kullanılan bir web sitesi temasını etkiliyor ve kötü niyetli kişilerin giriş yapmadan sunucuya zararlı dosya yüklemesine olanak tanıyor. Sonuç olarak web siteniz ele geçirilebilir, müşteri bilgileri risk altına girebilir ve itibar kaybı yaşanabilir. Etkilenen siteler için güncelleme ve geçici önlemler hemen uygulanmalıdır.
ÖzetTürkçe
Avada | Website Builder For WordPress & WooCommerce temasında, 7.16.2 sürümü dahil olmak üzere önceki tüm sürümlerde, convert_palette_images_to_truecolor fonksiyonu üzerinden yüklenen dosyalar işlenmeden önce yeterli dosya türü doğrulaması yapılmıyor. Bu nedenle kimlik doğrulaması yapılmamış saldırganlar çalıştırılabilir dosyalar yükleyebilir. Açık, CWE-434 (kısıtlanmamış tehlikeli tür dosya yükleme) sınıfındadır ve Avada kullanan tüm WordPress sitelerini etkiler.
Saldırgan ne yapabilir?
Saldırgan, sunucuya kimlik doğrulaması olmadan zararlı dosya yükleyerek uzaktan kod çalıştırabilir; bu da web sitesinin ele geçirilmesine, veri sızmasına veya sitenin değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Avada | Website Builder For WordPress & WooCommerce theme for WordPress is vulnerable to Arbitrary File Upload in versions up to, and including, 7.16.2 via the convert_palette_images_to_truecolor() function. This is due to insufficient file type validation before processing uploaded files. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.
Ne yapmalı?
- Avada temasını 7.16.2 sürümünden daha yeni, üretici tarafından yayımlanmış bir sürüme güncelleyin. Güncelleme için ThemeForest üzerindeki satın alma kaydınızı ve Avada'nın resmi güncelleme kanalını kullanın. Genel öneri
- Güncelleme yapılana kadar Avada formlarındaki dosya yükleme alanlarını devre dışı bırakın veya dosya yüklemeyi kısıtlayan bir güvenlik eklentisiyle geçici koruma sağlayın. Genel öneri
- Sunucuda, yükleme dizinlerinde yeni eklenmiş betik dosyaları (PHP gibi) olup olmadığını kontrol edin ve şüpheli dosyaları temizleyin. Genel öneri
Ek önlemler
- Yükleme dizinlerinde betik dosyalarının çalıştırılmasını web sunucusu yapılandırmasıyla engelleyin. Genel öneri
- Dosya değişikliklerini ve yeni dosya oluşturma olaylarını izleyen bir bütünlük kontrol mekanizması kullanın. Genel öneri
- Kullanılmayan tema ve eklentileri kaldırarak saldırı yüzeyini küçültün. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| ThemeFusion Avada | Website Builder For WordPress & WooCommerce | ≤ 7.16.2 | – |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.