- Son 7 gün
- CWE-266
CVE-2026-118086
WP BASE Booking eklentisi için yetki yükseltme (Privilege Escalation) açığı
- Yayımlandı
- Güncellendi
- 31 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu açık, sitenize kayıt olabilen herhangi bir kullanıcının kendine yönetici benzeri yetkiler vermesine olanak tanıyabilir. Müşteri verilerinin sızması, sitenin değiştirilmesi ve itibar kaybı gibi ciddi iş riskleri doğurur. Rezervasyon eklentisini kullanan siteler için acil önlem alınması önerilir.
ÖzetTürkçe
WP BASE Booking WordPress eklentisinin 6.5.2 ve daha eski sürümlerinde, Subscriber (Abone) rolündeki kullanıcıların kendi yetkilerini yükseltebildiği bir güvenlik açığı bulunmaktadır. Bu durum, düşük yetkili bir hesabı olan herhangi bir kullanıcının rol kısıtlamalarını aşmasına olanak tanır. Açık, CWE-266 (Yanlış yetki ataması) sınıfında değerlendirilmiştir.
Saldırgan ne yapabilir?
Saldırgan, yalnızca abone hesabıyla sisteme girebilmesine rağmen yönetici düzeyine yakın yetkiler elde edebilir. Bu sayede site içeriğini değiştirebilir, diğer kullanıcı verilerine erişebilir ve siteyi tamamen ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
Subscriber Privilege Escalation in WP BASE Booking <= 6.5.2 versions.
Ne yapmalı?
- Eklentiyi 6.5.2 sürümünden daha yeni, güvenlik düzeltmesi içeren bir sürüme güncelleyin. Kesin düzeltilmiş sürüm numarası veri kaynağında belirtilmemiştir; üretici duyurularını kontrol edin. Genel öneri
- Güncelleme yapılana kadar, eklentiyi devre dışı bırakmayı veya siteye yeni kullanıcı kaydını geçici olarak kapatmayı değerlendirin. Genel öneri
- Abone rolündeki hesapları ve son dönemde yapılan rol değişikliklerini gözden geçirin; yetkisiz yönetici veya editör hesabı bulunursa kaldırın. Genel öneri
Ek önlemler
- Yalnızca gerekli kullanıcılara yetki verin ve en az ayrıcalık ilkesini uygulayın. Genel öneri
- Kullanıcı rollerindeki ve yönetici hesaplarındaki değişiklikleri izleyen günlükleri (log) etkinleştirin ve düzenli inceleyin. Genel öneri
- Kullandığınız tüm eklentileri ve WordPress çekirdeğini düzenli olarak güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Hakan Ozevin WP BASE Booking | ≤ 6.5.2 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.