Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-862

CVE-2026-116613

Animated Text Block eklentisinde yetkilendirme eksikliği nedeniyle hassas bilgi ifşası

bplugins Animated Text Block – Add Typing and Looping Text Effects

Yüksek 7,5 CVSS 3.1
Yayımlandı
Güncellendi
28 Eki 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitenizde görünmemesi gereken bazı içeriklerin, sitenize kayıtlı düşük yetkili bir kullanıcı tarafından okunmasına olanak tanıyabilir. Risk orta-yüksek düzeydedir ve eklentinin güncellenmesi veya geçici olarak devre dışı bırakılması önerilir.

ÖzetTürkçe

Animated Text Block eklentisinin 1.2.6 dahil ve öncesi sürümlerinde, 'animated-text' kısa kodu üzerinden 'id' özniteliğiyle belirtilen gönderinin içeriği yetki kontrolü yapılmadan gösterilmektedir. Bu nedenle en az Katkıda Bulunan (Contributor) yetkisine sahip kullanıcılar, WordPress'in doğrudan erişime kapattığı özel içerik türlerindeki yayımlanmış gönderilerin içeriğini de okuyabilir. Etkilenen, eklentinin ilgili sürümlerini kullanan WordPress siteleridir.

Saldırgan ne yapabilir?

Saldırgan, normalde görünmemesi gereken yayımlanmış gönderilerin içeriğine erişebilir ve bu sayede site içindeki gizli bilgileri ifşa edebilir.

Kaynaktaki açıklama (İngilizce)

The Animated Text Block plugin for WordPress is vulnerable to Sensitive Information Exposure in versions up to, and including, 1.2.6 via the 'animated-text' shortcode. This is due to the atb_shortcode_handler() function fetching an arbitrary post by attacker-supplied ID and, in the 'publish' branch, calling displayContent() with no capability check and no validation that the post's post_type is the plugin's own CPT or is otherwise viewable (is_post_type_viewable()). This makes it possible for authenticated attackers, with Contributor-level access and above, to read the rendered block content of any published post, including posts of non-public custom post types (public=false, show_in_rest=false) that WordPress would otherwise hide from direct URLs and the REST API.

Ne yapmalı?

  1. Eklentiyi güvenli bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi verilmediği için satıcının yayımladığı en güncel sürümü kullanın. Genel öneri
  2. Güncelleme yapılana kadar Animated Text Block eklentisini devre dışı bırakın veya 'animated-text' kısa kodunu içeren sayfa ve şablonları geçici olarak kaldırın. Genel öneri
  3. Gereksiz Katkıda Bulunan (Contributor) ve üstü kullanıcı hesaplarını gözden geçirin, güvenilmeyen hesapları kaldırın veya yetkilerini düşürün. Genel öneri

Ek önlemler

  • Hassas içerik içeren özel içerik türlerinde gönderileri yayımlamadan önce içeriklerin gerçekten herkese açık olup olmadığını kontrol edin. Genel öneri
  • Eklenti kurulumlarını ve sürüm güncellemelerini düzenli olarak izleyin, kullanılmayan eklentileri kaldırın. Genel öneri
  • Yeni kısa kod kullanımı veya beklenmedik içerik erişimi gibi olağandışı etkinlikler için erişim günlüklerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
bplugins Animated Text Block – Add Typing and Looping Text Effects ≤ 1.2.6 –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.