- Yama var
- Son 7 gün
- CWE-79
CVE-2026-66570
WordPress File Upload eklentisinde depolanmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu açık, web sitenizin ziyaretçilerini ve yöneticilerini hedef alabilecek bir güvenlik riskidir. Saldırganlar sitenize zararlı içerik yerleştirip kullanıcı hesaplarını ele geçirebilir veya itibarınıza zarar verebilir. Eklentinin hızla güncellenmesi önerilir.
ÖzetTürkçe
WordPress File Upload eklentisinin 5.2.1 ve daha eski sürümlerinde, kullanıcı girdisinin web sayfası üretilirken yeterince temizlenmemesi nedeniyle depolanmış siteler arası betik çalıştırma (XSS) açığı bulunmaktadır. Bu eklentiyi kullanan WordPress siteleri etkilenmektedir. Açık, kötü amaçlı betiğin sunucuda kalıcı olarak saklanmasına olanak tanır.
Saldırgan ne yapabilir?
Saldırgan, zararlı betiği sayfaya gömerek bu sayfayı görüntüleyen kullanıcıların tarayıcısında kod çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya kullanıcılar adına istenmeyen işlemlerin yapılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Nickboss WordPress File Upload wp-file-upload allows Stored XSS.This issue affects WordPress File Upload: from n/a through 5.2.1.
Üreticinin çözüm notu (İngilizce)
Update the WordPress WordPress File Upload plugin to the latest available version (at least 5.2.2).
Ne yapmalı?
- WordPress File Upload eklentisini en son mevcut sürüme güncelleyin; satıcının belirttiği minimum sürüm 5.2.2'dir. Üretici
- Güncelleme sonrasında eklentinin doğru sürümde çalıştığını yönetim panelinden kontrol edin. Genel öneri
- Güncelleme öncesinde eklentinin yüklediği dosyaları ve gönderi içeriklerini, şüpheli betik içerip içermediği açısından gözden geçirin. Genel öneri
Ek önlemler
- Yönetici ve editör hesaplarında güçlü parolalar kullanın ve iki faktörlü kimlik doğrulamayı etkinleştirin. Genel öneri
- Tarayıcı tarafında içerik güvenlik politikası (Content Security Policy) uygulayarak satır içi betik çalıştırmayı sınırlandırmayı değerlendirin. Genel öneri
- Kullanılmayan eklentileri kaldırın ve kullanılan eklentileri düzenli olarak güncel tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Nickboss WordPress File Upload | ≤ 5.2.1 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.