- Son 7 gün
- CWE-22
CVE-2026-120577
FluentCart eCommerce eklentisi arbitrary dosya silme açığı (<= 1.6.2)
wpmanageninja FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler
- Yayımlandı
- Güncellendi
- 3 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, mağaza yönetim eklentisindeki bir hatadan kaynaklanıyor ve kötüye kullanılırsa web sitesinin tamamen kontrolünün kaybedilmesine yol açabilir. Saldırganların sisteme giriş yapmış olması gerekir, ancak bu yetki düzeyi düşük tutulmuş hesaplar için de geçerli olabilir. Bu nedenle işletmelerin güncellemeyi öncelikli olarak uygulaması önerilir.
ÖzetTürkçe
FluentCart eCommerce eklentisinin 1.6.2 ve daha eski sürümlerinde, deleteFile fonksiyonu dosya yolunu yeterince doğrulamadığı için keyfi dosya silme açığı bulunmaktadır. Açık, özel (custom) ve üzeri yetkiye sahip kimliği doğrulanmış saldırganlar tarafından istismar edilebilir. Eklentiyi WordPress üzerinde kullanan tüm siteler etkilenmektedir.
Saldırgan ne yapabilir?
Saldırgan sunucudaki rastgele dosyaları silebilir; wp-config.php gibi kritik bir dosyanın silinmesi uzaktan kod çalıştırmaya ve sitenin tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the deleteFile function in all versions up to, and including, 1.6.2. This makes it possible for authenticated attackers, with custom-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php).
Ne yapmalı?
- FluentCart eklentisini 1.6.2 sürümünün üzerindeki, açığı kapatan bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi veri kaynağında belirtilmemiştir; eklenti sayfasındaki güncel sürüm notlarını kontrol edin. Genel öneri
- Güncelleme yapılana kadar özel (custom) ve üzeri yetkili kullanıcı hesaplarını gözden geçirin, gereksiz hesapları devre dışı bırakın ve şüpheli hesapları kaldırın. Genel öneri
- Güncelleme öncesinde ve sonrasında wp-config.php ve diğer kritik dosyaların bütünlüğünü yedeklerle karşılaştırarak kontrol edin. Genel öneri
Ek önlemler
- Yönetici paneline erişimi olan kullanıcılar için güçlü parolalar ve çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Dosya sistemi üzerindeki beklenmedik silme işlemlerini izlemek için dosya bütünlüğü denetimi ve günlük kaydı yapılandırın. Genel öneri
- Düzenli olarak yedek alın ve yedeklerin çevrimdışı ya da ayrı bir ortamda saklandığından emin olun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| wpmanageninja FluentCart A New Era of eCommerce – Faster, Lighter, and Simpler | ≤ 1.6.2 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- wordfence.com/…lities/id/f20ead74-6db0-4bd2-82f6-0eb792288d70 Diğer
- plugins.trac.wordpress.org/…vices/FileSystem/Drivers/Local/LocalDriver.php Diğer
- plugins.trac.wordpress.org/…/app/Http/Controllers/FileUploadController.php Diğer
- plugins.trac.wordpress.org/…fluent-cart/tags/1.6.2/app/Http/Routes/api.php Diğer
- plugins.trac.wordpress.org/changeset Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.