- Son 7 gün
- CWE-269
CVE-2026-118193
GiveWP bağış eklentisi: donor_default_user_role parametresi üzerinden yetki yükseltme
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, bağış sitenizde yetkisi düşük bir personelin veya hesabın siteyi yönetici seviyesine yükseltmesine olanak tanıyabilir. Sitenin kontrolünün kaybedilmesi müşteri verilerini ve ödeme süreçlerini riske atabileceğinden acil dikkat gerektirir.
ÖzetTürkçe
GiveWP – Donation Plugin and Fundraising Platform eklentisinin 4.19.1 ve önceki sürümlerinde, bağışçı kayıtlarına atanacak varsayılan WordPress rolünü belirleyen donor_default_user_role ayarında yetki yükseltme açığı bulunmaktadır. Açık, eklentinin ayar kaydetme yolunda yalnızca 'administrator' değerini engelleyen dar bir kontrol ve içe aktarma (JSON) yolunda ise hiç temizleme yapılmaması nedeniyle oluşmaktadır. Saldırı için GiveWP Manager rolüne (manage_give_settings yetkisi) sahip kimlik doğrulamalı bir kullanıcı gerekir.
Saldırgan ne yapabilir?
Yetkili saldırgan, yeni oluşturulan tüm bağışçı hesaplarına yönetici dahil ayrıcalıklı WordPress rollerini atayarak sitede yetki yükseltebilir. Bu durum sitenin tam ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The GiveWP – Donation Plugin and Fundraising Platform plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 4.19.1 via the donor_default_user_role parameter. This is due to the sanitize_option_donor_default_user_role() function applying only a narrow literal check against the string 'administrator' rather than enforcing the plugin's own give_get_donor_safe_user_roles() allowlist on save, and due to the give_core_settings_import_callback() AJAX handler writing imported JSON directly into the give_settings option via update_option() without invoking the sanitize filter at all. This makes it possible for authenticated attackers with the GiveWP Manager role (holding the manage_give_settings capability) and above to configure donor registration to assign privileged WordPress roles — up to and including Administrator via the import path — to every new donor account created through the platform. Via the settings save path, the Administrator role is blocked but any other elevated role (Editor, Author, etc.) is accepted; via the Tools › Import JSON path, the sanitize filter is bypassed entirely, allowing the Administrator role itself to be stored and subsequently applied to all newly registered donor accounts.
Ne yapmalı?
- Eklentiyi 4.19.1 sürümünden daha yeni, güvenlik düzeltmesi içeren bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi veri kaynağında bulunmamaktadır, bu nedenle üreticinin duyurusunu kontrol edin. Genel öneri
- Güncelleme yapılana kadar GiveWP Manager rolüne sahip kullanıcıların listesini gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
- Bağışçıların varsayılan rol ayarını kontrol edin; yönetici veya diğer ayrıcalıklı bir rol atanmışsa bunu güvenli bir role çevirin. Genel öneri
- Tools › Import JSON özelliğinin kullanımını güncelleme tamamlanana kadar kısıtlayın ve yakın zamanda yapılmış ayar içe aktarmalarını inceleyin. Genel öneri
- Yeni oluşturulmuş bağışçı hesaplarında beklenmeyen yönetici yetkisi olup olmadığını kontrol edin ve şüpheli hesapları devre dışı bırakın. Genel öneri
Ek önlemler
- Yönetici rolleri ve eklenti ayar değişikliklerini düzenli olarak izleyin ve denetim kayıtlarını saklayın. Genel öneri
- Yönetici paneline erişen tüm hesaplarda güçlü parola ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Gereksiz eklentileri kaldırın ve kullanılan eklentileri düzenli olarak güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| stellarwp GiveWP – Donation Plugin and Fundraising Platform | ≤ 4.19.1 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/f2ab1544-2428-4c93-b973-8280ff7a2903 Diğer
- plugins.trac.wordpress.org/…des/admin/settings/class-settings-advanced.php Diğer
- plugins.trac.wordpress.org/…e/tags/4.19.0/includes/admin/admin-actions.php Diğer
- plugins.trac.wordpress.org/…give/tags/4.19.0/includes/process-donation.php Diğer
- plugins.trac.wordpress.org/…9.0/src/Donors/Actions/CreateUserFromDonor.php Diğer
- plugins.trac.wordpress.org/…des/admin/settings/class-settings-advanced.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.