- Yama var
- Son 7 gün
- CWE-94
CVE-2026-121491
Fiber Admin WordPress eklentisinde Host başlığı üzerinden kimlik doğrulamasız uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 7 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, web sitenizin tamamen ele geçirilmesine yol açabilecek kritik bir risk taşır. Saldırganlar giriş yapmadan sitenizi kontrol edebilir ve müşteri verileri dahil bilgilere ulaşabilir. Eklentiyi hemen güncellemeniz önerilir.
ÖzetTürkçe
Fiber Admin WordPress eklentisinin 4.0.1 öncesi sürümlerinde, bir HTTP istek başlığı doğrulanmadan ve kaçışlanmadan PHP dosyasına yazılıyor. Bu dosya korumasız bir yönetici kancasında yeniden oluşturuluyor. Sürüm 3.1.0 ile 4.0.1 öncesi sürümler etkilenmiştir. Özel veritabanı hata sayfası etkinleştirildiğinde ve bir yönetici eklenti ayarlarını kaydederken saldırgan yarış koşulunu kazanırsa, kimliği doğrulanmamış bir saldırgan keyfi kod çalıştırabilir.
Saldırgan ne yapabilir?
Başarılı bir saldırgan, web sunucusu üzerinde keyfi kod çalıştırabilir; bu da sitenin tam ele geçirilmesine, veritabanındaki verilere erişime ve verilerin değiştirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The Fiber Admin WordPress plugin before 4.0.1 does not validate or escape a request header before writing it into a PHP file it regenerates on an unprotected admin hook, allowing unauthenticated attackers to execute arbitrary code when its custom database error page is enabled and they win a race against an administrator saving its settings.
Ne yapmalı?
- Fiber Admin eklentisini 4.0.1 veya daha yeni bir sürüme güncelleyin. Üretici
- Güncelleme tamamlanana kadar özel veritabanı hata sayfası özelliğini devre dışı bırakın. Genel öneri
- Güncellemeden sonra, sunucuda eklenti tarafından yeniden oluşturulan PHP dosyalarını beklenmeyen kod içeriğine karşı kontrol edin. Genel öneri
Ek önlemler
- Eklenti yönetim ekranına erişimi yalnızca güvenilir yöneticilerle sınırlandırın ve yönetici hesaplarında güçlü kimlik doğrulama kullanın. Genel öneri
- Web sunucusu ve eklenti dosyalarındaki değişiklikleri izlemek için dosya bütünlüğü denetimi uygulayın. Genel öneri
- Yetkisiz istek başlıklarında veya sıra dışı Host değerlerinde oluşan istekleri günlüklerden izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Fiber Admin | ≥ 3.1.0, < 4.0.1 | 4.0.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/42b9773d-9c69-4435-be20-ae86f52b4608 İstismar kodu ya da analiz
Kayıt geçmişi
- CVSS puanı değişti: – → 9.0
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.