Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-434

CVE-2026-120534

Advanced Custom Fields: Extended PRO eklentisinde kimlik doğrulamasız uzaktan kod çalıştırma açığı

ACF Extended Advanced Custom Fields: Extended PRO

Kritik 9,8 CVSS 3.1
Yayımlandı
Güncellendi
3 Kas 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitesinin tamamen ele geçirilmesine yol açabilecek kritik düzeyde bir risk taşımaktadır ve oturum açmadan istismar edilebilmektedir. Kullanılan eklentinin derhal güncellenmesi veya güvenli bir sürüme geçirilmesi gerekmektedir. Gecikme, müşteri verilerinin ve iş sürekliliğinin tehlikeye girmesi anlamına gelebilir.

ÖzetTürkçe

Advanced Custom Fields: Extended PRO eklentisinin 0.9.2.6 dahil ve öncesi sürümlerinde, render_field işlevine iletilen form yapılandırma parametreleri yeterince doğrulanmadan alan ayarlarına eklenip call_user_func_array ile çalıştırıldığı için bir zafiyet bulunmaktadır. Açık, WordPress'te kimlik doğrulaması yapılmadan istismar edilebilir. Birinci yöntem, yönetici tarafından varsayılan olmayan 'shortcode_preview' ayarının etkinleştirilmesini gerektirirken, ikinci yöntem sunucu ortamında OpenSSL işlevlerinin bulunmamasına bağlıdır.

Saldırgan ne yapabilir?

Saldırgan, doğrulanmamış argümanlarla keyfi WordPress işlevlerini çağırabilir; bu da web sitesinin ele geçirilmesine, veri sızıntısına veya verilerin değiştirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Advanced Custom Fields: Extended PRO plugin for WordPress is vulnerable to Limited Code Injection in all versions up to, and including, 0.9.2.6 via the render_field function. This is due to insufficient validation of form configuration parameters before merging into field settings and passing to call_user_func_array in the render_field method. This makes it possible for unauthenticated attackers to call arbitrary WordPress functions with controlled arguments. Method 1 requires the administrator to enable the non-default 'shortcode_preview' setting for the target form, while Method 2 requires the server environment to lack OpenSSL functions, causing ACF Pro's acf_decrypt to fall back to unverified base64 decoding.

Ne yapmalı?

  1. Eklentiyi, açığın giderildiği bir sürüme güncelleyin. Kaynakta kesin düzeltilmiş sürüm numarası belirtilmemiştir; üretici duyurularını ve eklenti sayfasını kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı veya kaldırmayı değerlendirin. Genel öneri
  3. 'shortcode_preview' ayarının etkin olup olmadığını kontrol edin ve etkinse devre dışı bırakın. Genel öneri
  4. Sunucuda OpenSSL işlevlerinin bulunduğundan emin olun, çünkü eksiklik ikinci istismar yöntemini mümkün kılmaktadır. Genel öneri

Ek önlemler

  • Web sunucusu ve WordPress erişim günlüklerinde render_field veya olağandışı form istekleri için izleme yapın. Genel öneri
  • Yetkisiz kullanıcılardan gelen beklenmedik istekleri ve WordPress yönetici hesaplarındaki değişiklikleri düzenli olarak inceleyin. Genel öneri
  • Güncelleme sonrası site dosyalarında ve yönetici hesaplarında kötü amaçlı değişiklik olup olmadığını tarayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
ACF Extended Advanced Custom Fields: Extended PRO ≤ 0.9.2.6 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.