- Son 7 gün
- CWE-434
CVE-2026-118423
WP Libre Form eklentisi: yetkisiz dosya yüklemeyle uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, kimlik doğrulaması gerektirmeden web sitenizin sunucusunu ele geçirilebilir hale getirmektedir. Ele geçirilen bir site müşteri verilerinin sızmasına, itibar kaybına ve yasal sorumluluğa yol açabilir. Eklenti kullanıyorsanız hemen işlem yapmanız gerekir.
ÖzetTürkçe
WP Libre Form, WordPress için geliştirilmiş bir form eklentisidir. 1.5.0.1 sürümünde form gönderimleriyle yüklenen dosyaların türü doğrulanmadığı için bu sürümü kullanan siteler etkilenmektedir. Kimlik doğrulaması yapmayan saldırganlar web erişilebilir bir konuma PHP dosyası yükleyip bu dosyayı çalıştırabilmektedir.
Saldırgan ne yapabilir?
Saldırgan, sunucu üzerinde uzaktan kod çalıştırarak web sitesini ele geçirebilir, verileri çalabilir veya değiştirebilir ve sunucuda kalıcı erişim kurabilir.
Kaynaktaki açıklama (İngilizce)
The WP Libre Form WordPress plugin 1.5.0.1 does not validate the type of files uploaded through its form submissions, allowing unauthenticated attackers to upload PHP files to a web-accessible location and execute them, leading to remote code execution.
Ne yapmalı?
- Veri kaynağında belirtilen bir düzeltilmiş sürüm bilgisi bulunmamaktadır; eklentinin satıcısından veya resmi kaynağından güncel bir sürüm olup olmadığını kontrol edin. Genel öneri
- Güncel bir sürüm yoksa WP Libre Form eklentisini derhal devre dışı bırakın veya kaldırın. Genel öneri
- Form yüklemelerinin kaydedildiği dizinlerde PHP dosyası bulunup bulunmadığını inceleyin ve şüpheli dosyaları kaldırın. Genel öneri
- Sunucuda kimliği belirsiz kullanıcı, yetkisiz yeni dosya veya beklenmeyen zamanlanmış görev olup olmadığını kontrol edin; şüphe varsa sitenizi ve kimlik bilgilerinizi yeniden oluşturun. Genel öneri
Ek önlemler
- Yükleme dizinlerinde PHP ve benzeri betik dosyalarının çalıştırılmasını web sunucusu yapılandırmasıyla engelleyin. Genel öneri
- Dosya yükleme alanlarında yalnızca gerekli dosya türlerine izin verin ve dosya içeriğini sunucu tarafında doğrulayın. Genel öneri
- Web sunucusu erişim günlüklerinde yükleme dizinlerine yapılan şüpheli istekleri izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WP Libre Form | ≥ 1.5.0.1, ≤ 1.5.0.1 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/35149a79-aee1-4f13-ba29-583c2224c5da İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.