- Son 7 gün
- CWE-94
CVE-2026-116533
Static Snapshot eklentisinde kimlik doğrulamasız uzaktan kod çalıştırma açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, bir WordPress eklentisi üzerinden sunucunun tamamen saldırganların eline geçmesine imkân tanıyor. Giriş yapmadan saldırı yapılabildiği için risk çok yüksek ve hemen önlem alınmalı. Eklenti kullanılan sitelerde müşteri ve site verileri ciddi tehlike altında.
ÖzetTürkçe
WordPress için geliştirilen Static Snapshot eklentisinin 0.2.1 ve önceki sürümlerinde, kullanıcıdan alınan değerdeki kabuk meta karakterleri temizlenmeden işletim sistemi komutlarına ekleniyor. Bu nedenle eklentiyi kullanan siteler ve sunucular etkileniyor. Açık için oturum açmak gerekmediğinden saldırganlar herhangi bir yetki olmadan istek gönderebiliyor.
Saldırgan ne yapabilir?
Saldırgan sunucuda istediği komutları çalıştırabilir; bu da sunucunun tamamen ele geçirilmesine, veritabanındaki kullanıcı bilgilerinin sızmasına veya değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Static Snapshot WordPress plugin through 0.2.1 does not sanitise shell metacharacters in a user-supplied value before concatenating it into operating-system commands run by the server, allowing unauthenticated attackers to execute arbitrary commands on the host.
Ne yapmalı?
- Bu kayıtta düzeltilmiş bir sürüm bilgisi yer almıyor. Güvenli bir sürüm yayınlanana kadar eklenti kullanılmamalı. Genel öneri
- Eklentiyi WordPress yönetim panelinden devre dışı bırakın ve kaldırın. Genel öneri
- Sunucu erişim günlüklerini ve eklenti dosyalarını inceleyerek olası bir istismar girişimi veya değişiklik olup olmadığını kontrol edin. Genel öneri
- Şüpheli bir durum tespit edilirse yönetici ve veritabanı parolalarını değiştirin, sistemi bilinen temiz bir yedekten geri yükleyin. Genel öneri
- Eklentinin işlevine ihtiyaç varsa, bakımı aktif olan ve güvenlik geçmişi temiz bir alternatife geçmeyi değerlendirin. Genel öneri
Ek önlemler
- Web sunucusunun çalıştığı kullanıcıya yalnızca gerekli yetkileri verin ve komut çalıştırma izinlerini en aza indirin. Genel öneri
- Web uygulaması güvenlik duvarı ile kabuk karakterleri veya olağandışı komut dizileri içeren istekleri izleyin ve engelleyin. Genel öneri
- Kullanılmayan WordPress eklentilerini kaldırın ve kalan eklentileri düzenli olarak güncelleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Static Snapshot | ≤ 0.2.1 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/bdf02d4a-3775-410b-b86f-d9dc2408cf2f İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 9.8
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.