Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-73

CVE-2026-121379

Tournamatch WordPress eklentisinde Subscriber+ yetkisiyle keyfi dosya silme açığı

Tournamatch

Kritik 9,6 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
WPScan

Yönetici özeti

Bu açık, sitenize sıradan üye olabilen kullanıcıların kritik sistem dosyalarını silmesine olanak tanıyor ve siteniz tamamen ele geçirilebilir. Etkilenen eklenti kurulu siteler için acil güncelleme gerekir. Ertelemek, web sitesinin çevrimdışı kalması ve veri kaybı riskini artırır.

ÖzetTürkçe

Tournamatch WordPress eklentisinin 4.7.1 öncesi sürümlerinde, yeni bir resim yüklendiğinde önceden kaydedilmiş profil veya takım resminin yolu doğrulanmadan silinmektedir. Abone (Subscriber) rolü gibi düşük yetkili kullanıcılar bu işlemi kötüye kullanarak sunucudaki rastgele dosyaları silebilir. Açık, eklentinin kurulu olduğu tüm WordPress sitelerini etkilemektedir.

Saldırgan ne yapabilir?

Saldırgan wp-config.php gibi kritik dosyaları silerek siteyi kurulum ekranına düşürebilir ve veritabanı bağlantı bilgilerini kaybettirebilir. Bu durum tam site ele geçirilmesine yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Tournamatch WordPress plugin before 4.7.1 does not validate or restrict the path of a previously stored profile or team image before deleting it when a new image is uploaded, allowing users with a role as low as Subscriber to delete arbitrary files on the server, such as wp-config.php, which can lead to a full site takeover.

Ne yapmalı?

  1. Tournamatch eklentisini 4.7.1 veya daha yeni bir sürüme güncelleyin. Üretici
  2. Güncellemeden önce site dosyalarının ve veritabanının yedeğini alın. Genel öneri
  3. Güncelleme tamamlanana kadar eklentiyi devre dışı bırakmayı veya kullanıcıların profil ve takım resmi yükleme özelliğini kısıtlamayı değerlendirin. Genel öneri
  4. Sitenizdeki wp-config.php ve diğer kritik dosyaların silinip silinmediğini kontrol edin. Genel öneri

Ek önlemler

  • Abone rolündeki kullanıcıların kayıt ve yetki durumunu gözden geçirin; gereksiz kayıtları kaldırın. Genel öneri
  • Dosya bütünlüğünü izleyen bir araç kullanarak yapılandırma dosyalarındaki beklenmeyen silme ve değişiklikleri takip edin. Genel öneri
  • Düzenli yedekleme yapın ve yedeklerin sunucu dışında saklandığından emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Tournamatch < 4.7.1 4.7.1

Kaynaklar3 kaynak

Kayıt geçmişi

  1. CVSS puanı değişti: – → 9.6
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.