Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-22

CVE-2026-120518

BuddyPress XProfile Image Field eklentisinde kimlik doğrulamasız keyfi dosya silme açığı

kalengi BuddyPress XProfile Custom Image Field

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, kimliği doğrulanmamış herhangi bir kişinin sunucudaki önemli dosyaları silmesine olanak tanır ve siteyi tamamen devre dışı bırakabilir ya da ele geçirilmesine yol açabilir. Açık kayıt yapan ve üye kaydı alan siteler için risk yüksek ve acil müdahale gerektiren niteliktedir.

ÖzetTürkçe

BuddyPress XProfile Image Field (kalengi BuddyPress XProfile Custom Image Field) eklentisinin 3.1.0 ve önceki sürümlerinde, kayıt sırasında gönderilen ve doğrudan dosya silme işleminde kullanılan yol bilgisi yeterince doğrulanmadığı için bir açık bulunmaktadır. Saldırgan kimlik doğrulaması olmadan, açık kayıt ve görsel tipinde profil alanı bulunan sitelerde, sunucudaki keyfi dosyaları silebilir. Etkilenen sitelerde açık kayıt etkin olmalıdır.

Saldırgan ne yapabilir?

Saldırgan, wp-config.php gibi kritik dosyaları silerek siteyi yeniden kurulum ekranına düşürebilir ve bu yolla uzaktan kod çalıştırma riskini doğurabilir.

Kaynaktaki açıklama (İngilizce)

The BuddyPress XProfile Image Field plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 3.1.0. This is due to bpxp_image_field_update_on_user_activation() calling unlink() on a path built from visitor-supplied signup metadata with no realpath() resolution, no containment check against the profile-image directory and no extension allow-list. Submitting a zero-byte file with the 'field_N_hidden' parameter during registration makes the plugin store the raw value, which is then resolved against the document root when the pending signup is activated. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file (such as wp-config.php) is deleted. Requires open registration and an image-type profile field on the signup form.

Ne yapmalı?

  1. Eklentiyi 3.1.0 sürümünden daha yeni bir sürüme güncelleyin; satıcının sağladığı düzeltilmiş sürüm mevcut değildir, bu nedenle güncelleme bilgisi için eklenti sayfasını kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakın veya kayıt formundaki görsel tipinde profil alanlarını kaldırın. Genel öneri
  3. Sitede açık kayıt özelliğini geçici olarak kapatın ya da yeni kayıtları yönetici onayına bağlayın. Genel öneri
  4. Sunucudaki kritik dosyaların (özellikle wp-config.php) bütünlüğünü ve yedeklerini kontrol edin; silinmiş veya değiştirilmiş dosya varsa geri yükleyin. Genel öneri

Ek önlemler

  • Kullanılmayan eklentileri kaldırın ve düzenli olarak güncellemeleri takip edin. Genel öneri
  • Web sunucusunun ve PHP ssürecinin dosya sistemi üzerindeki yazma ve silme yetkilerini en aza indirin. Genel öneri
  • Dosya silme olaylarını ve yeni kayıt istekleri için alışılmadık hareketleri izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
kalengi BuddyPress XProfile Custom Image Field ≤ 3.1.0 –

Kaynaklar9 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.