- Son 7 gün
- CWE-22
CVE-2026-120559
Contact Form Extender for Divi Builder eklentisinde yetkisiz dosya silme (yol geçişi)
satindersingh Contact Form Extender for Divi – Submissions DB & Extra Fields
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, kimliği doğrulanmamış herkesin web sitenizin önemli dosyalarını silmesine olanak tanıyor ve sitenin tamamen ele geçirilmesine yol açabilir. Etkilenen sitelerde hem veri kaybı hem de iş sürekliliği açısından yüksek risk vardır. Bu nedenle eklentinin hemen kontrol edilmesi ve güncellenmesi ya da kaldırılması önerilir.
ÖzetTürkçe
Contact Form Extender for Divi Builder WordPress eklentisinin 1.0.6 ve daha eski sürümlerinde, cfefd_remove_uploaded_file fonksiyonundaki yetersiz dosya yolu doğrulaması nedeniyle sunucudaki rastgele dosyaların silinmesine izin verilmektedir. Eklentiyi kullanan tüm WordPress siteleri etkilenmektedir. AJAX işlemini koruyan nonce değeri sayfa kaynağına eklendiği için kimlik doğrulaması yapılmamış bir ziyaretçi de bu değere ulaşabilmektedir.
Saldırgan ne yapabilir?
Saldırgan, wp-config.php gibi kritik dosyaları silerek siteyi ele geçirebilir ve bu durum uzaktan kod çalıştırmaya yol açabilir. Kimlik doğrulaması gerektirmediği için saldırı kolaylıkla gerçekleştirilebilir.
Kaynaktaki açıklama (İngilizce)
The Contact Form Extender for Divi Builder plugin for WordPress is vulnerable to Arbitrary File Deletion due to insufficient file path validation in the cfefd_remove_uploaded_file() function in all versions up to, and including, 1.0.6. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The nonce protecting this AJAX action is rendered into the public page source via wp_localize_script and is therefore retrievable by any unauthenticated visitor.
Ne yapmalı?
- Eklentiyi 1.0.6 ve daha eski sürümlerden ayırın; satıcının sağladığı bir düzeltilmiş sürüm bilgisi verilmediği için eklentiyi kaldırmanız veya geliştiricinin yayınladığı güncellemeyi bekleyip takip etmeniz gerekir. Genel öneri
- Eklenti yerine geçici olarak, dosya yükleme ve silme işlevi sunan Divi form eklentisi bileşenlerini devre dışı bırakın ve sunucuda wp-config.php ile diğer kritik dosyaların yedeğini alın. Genel öneri
- Sitenizde beklenmeyen dosya silinmesi veya eksik dosya olup olmadığını kontrol edin ve gerekirse yedeklerden geri yükleyin. Genel öneri
Ek önlemler
- Web sunucusu erişim günlüklerinde eklentinin AJAX işlemlerine yönelik olağandışı istekleri izleyin. Genel öneri
- Kullanılmayan WordPress eklentilerini düzenli olarak kaldırın ve tüm eklentileri güncel tutun. Genel öneri
- Dosya sistemi izinlerini en düşük yetki ilkesine göre yapılandırın ve yazma yetkisini yalnızca gerekli dizinlerle sınırlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| satindersingh Contact Form Extender for Divi – Submissions DB & Extra Fields | ≤ 1.0.6 | – |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/7bbead7c-47b9-473f-b335-6fae4b5998d6 Diğer
- plugins.trac.wordpress.org/…4/file-upload/class-cfefd-file-upload-ajax.php Diğer
- plugins.trac.wordpress.org/…4/file-upload/class-cfefd-file-upload-ajax.php Diğer
- plugins.trac.wordpress.org/…4/file-upload/class-cfefd-file-upload-ajax.php Diğer
- plugins.trac.wordpress.org/changeset Diğer
- wordpress.org/plugins/contact-form-extender-for-divi-builder Diğer
- plugins.trac.wordpress.org/changeset Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.