- Son 7 gün
- CWE-502
CVE-2026-115806
Prime Mover eklentisinde kimlik doğrulaması gerektirmeyen PHP nesne enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, kimliği doğrulanmamış herhangi bir kişinin web sitenizi tamamen ele geçirmesine yol açabilecek ciddi bir risk taşımaktadır. Sitenizde bu eklenti kuruluysa, müşteri verileri ve iş sürekliliği tehlikeye girebilir. Bu nedenle öncelikli olarak ve hemen işlem yapılması gerekir.
ÖzetTürkçe
Prime Mover – Backup and Migration WordPress eklentisinin 2.2.1 sürümü dahil olan tüm sürümlerinde, geçiş sırasındaki arama ve değiştirme işlemi güvenilmeyen veriyi serileştirme çözümü ile işlediği için PHP nesne enjeksiyonu açığı bulunmaktadır. Saldırgan, standart yorum gönderme uç noktası üzerinden base64 ile kodlanmış, özel hazırlanmış bir serileştirilmiş nesneyi yorum içeriğine kaydedebilir. Yönetici dışa aktarma veya geri yükleme işlemi yaptığında bu veri çözülüp işlenir. Eklentinin kendi içinde paketlenmiş Freemius kütüphanesindeki bir gadget zinciri nedeniyle ek bir eklenti veya temaya ihtiyaç duyulmamaktadır.
Saldırgan ne yapabilir?
Saldırgan, yönetici işlemi sırasında keyfi kod akışını yönlendirerek siteyi tamamen ele geçirebilir; veritabanındaki verileri okuyabilir, değiştirebilir veya silebilir ve sunucuda kod çalıştırabilir.
Kaynaktaki açıklama (İngilizce)
The Prime Mover – Backup and Migration plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.2.1 via deserialization of untrusted input in the migration search-and-replace routine (recursiveUnserializeReplace()). An unauthenticated attacker can store a crafted, base64-encoded serialized object in wp_comments.comment_content through the standard comment-submission endpoint (wp-comments-post.php). When an administrator subsequently performs a routine Prime Mover export or restore, the plugin base64-decodes that stored value and passes it to unserialize() with no allowed_classes restriction. A Property-Oriented Programming (POP) chain is present in the plugin's own bundled Freemius library (FS_Clone_Manager::__set → FS_Option_Manager::set_option → store() → update_option()), so no additional plugin or theme is required — the plugin ships the gadget itself.
Ne yapmalı?
- Üretici tarafından sağlanan düzeltilmiş bir sürüm bulunmadığı için, mevcut verilerde sorun yaratmadan önce ilgili sürümün 2.2.1 ve daha eski tüm kurulumlarını tespit edin. Genel öneri
- Eklentinin güncel bir sürümünün yayımlanıp yayımlanmadığını üreticiden ve eklenti dizininden kontrol edin; güvenlik düzeltmesi yayımlandığında hemen güncelleyin. Genel öneri
- Güvenlik düzeltmesi yayımlanana kadar eklentiyi devre dışı bırakın veya kaldırın; özellikle geçiş, dışa aktarma ve geri yükleme işlemlerini durdurun. Genel öneri
- Yorum kayıtlarını, özellikle base64 ile kodlanmış veya alışılmadık uzun içerik taşıyanları inceleyin ve şüpheli kayıtları temizleyin. Genel öneri
- Sitenizin yedeklerini ve yönetici hesaplarını kontrol edin; şüpheli bir değişiklik fark ederseniz parolaları değiştirin ve olay müdahalesi sürecini başlatın. Genel öneri
Ek önlemler
- Yorumlar için yönetici onayı zorunlu kılın ve kimliği doğrulanmamış yorum gönderimlerini sınırlandırın. Genel öneri
- Dışa aktarma ve geri yükleme işlemlerini yalnızca güvenilir ortamlarda ve bakım süresince gerçekleştirin. Genel öneri
- Web uygulama güvenlik duvarı kurallarıyla yorum uç noktasına yönelik şüpheli istekleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| codexonics Prime Mover – Backup and Migration | ≤ 2.2.1 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/ab6ebd66-c7a4-402e-b51e-3f1f3183bd97 Diğer
- plugins.trac.wordpress.org/…gs/2.2.1/utilities/PrimeMoverSearchReplace.php Diğer
- plugins.trac.wordpress.org/…gs/2.2.1/utilities/PrimeMoverSearchReplace.php Diğer
- plugins.trac.wordpress.org/…s/includes/managers/class-fs-clone-manager.php Diğer
- plugins.trac.wordpress.org/…/includes/managers/class-fs-option-manager.php Diğer
- plugins.trac.wordpress.org/…gs/2.2.1/utilities/PrimeMoverSearchReplace.php Diğer
- plugins.trac.wordpress.org/…gs/2.2.1/utilities/PrimeMoverSearchReplace.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.