- Son 7 gün
- CWE-502
CVE-2026-75891
Kirki eklentisi: yetkisiz PHP nesne enjeksiyonu ile yönetici hesabı ele geçirme
themeum Kirki – Freeform Page Builder, Website Builder & Customizer
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, sitenize düşük yetkili bir kullanıcı hesabı bulunan herkesin yönetici erişimi kazanmasına olanak tanıyabilir ve bu da sitenizin tamamen kontrol edilmesi riskini doğurur. Ciddiyeti yüksek olduğundan etkilenen eklentinin güvenli bir sürüme yükseltilmesi veya kaldırılması en kısa sürede planlanmalıdır.
ÖzetTürkçe
Kirki WordPress eklentisinin 6.2.5 ve daha eski sürümlerinde, kirki_post_apis AJAX yönlendiricisindeki 'get-single-symbol' işlevi güvenilmeyen veriyi yetki kontrolü yapılmadan seri durumdan çıkarmaktadır. Bu nedenle Subscriber (Abone) veya daha yüksek yetkiye sahip, sisteme giriş yapmış saldırganlar PHP nesnesi enjekte edebilmektedir. Mevcut bir POP zinciri kullanılarak yönetici şifresi üzerine yazılabilmekte ve yönetici yetkisi elde edilebilmektedir.
Saldırgan ne yapabilir?
Saldırgan, düşük yetkili bir kullanıcı hesabıyla başlayarak yönetici hesabının şifresini değiştirebilir ve sitenin tam yönetimini ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
The Kirki plugin for WordPress is vulnerable to Privilege Escalation via PHP Object Injection in all versions up to, and including, 6.2.5 via deserialization of untrusted input through the 'get-single-symbol' branch of the kirki_post_apis() AJAX dispatcher due to a missing capability check. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject a PHP Object. The additional presence of a POP chain allows attackers to overwrite an administrator's password and gain administrative access.
Ne yapmalı?
- Kirki eklentisini 6.2.5 sürümünden daha yeni, güvenlik düzeltmesi içeren bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi bu veride yer almadığından, tedarikçinin yayımladığı en son sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar eklentiyi devre dışı bırakmayı değerlendirin. Genel öneri
- Yönetici hesaplarının şifrelerini değiştirin ve yönetici hesaplarında beklenmedik değişiklik olup olmadığını inceleyin. Genel öneri
- Yetkisiz yeni kullanıcı, yönetici hesabı ve dosya değişikliklerini kontrol edin; şüpheli bir durum varsa sitenizi temiz bir yedekten geri yükleyin. Genel öneri
Ek önlemler
- Kullanılmayan eklentileri tamamen kaldırın ve kullanılanları düzenli olarak güncel tutun. Genel öneri
- Yeni kullanıcı kayıtlarını ve rol değişikliklerini izleyin; abone rolündeki hesapların gereksiz yetki almadığını doğrulayın. Genel öneri
- Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın ve yönetim paneline erişimi kısıtlayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| themeum Kirki – Freeform Page Builder, Website Builder & Customizer | ≤ 6.2.5 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.