Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-639

CVE-2026-88799

MDJM Event Management ve Mobile Events Manager eklentilerinde IDOR ile hesap ele geçirme

MDJM Event ManagementMobile Events Manager

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
6 Kas 2026
Açık yaşı
0 gün
Kaydı açan
WPScan

Yönetici özeti

Bu açık, sitenize kayıtlı herhangi bir kullanıcının yönetici hesaplarını ele geçirmesine olanak tanıyabilir ve bu da web sitenizin tam kontrolünün kaybı anlamına gelir. Etkilenen eklentiler etkinlik yönetimi için kullanıldığından iş operasyonları ve müşteri verileri de risk altındadır. Bu nedenle en kısa sürede güncelleme yapılması ya da geçici önlemlerin alınması önerilir.

ÖzetTürkçe

MDJM Event Management ve Mobile Events Manager WordPress eklentilerinin 1.7.8.7 sürümüne kadar olan sürümleri, müşteri profili güncelleme işleminde kullanılan tanımlayıcının sahipliğini ve yetkisini kontrol etmemektedir. Bu nedenle abone seviyesinde olan herhangi bir kimlik doğrulamalı kullanıcı, yönetici dahil diğer hesapların parolasını ve e-posta adresini değiştirebilmektedir. Sorun, yetkisiz nesne referansı (IDOR) olarak sınıflandırılmaktadır.

Saldırgan ne yapabilir?

Saldırgan, düşük yetkili bir hesapla giriş yaparak yönetici dahil herhangi bir hesabın parolasını ve e-posta adresini değiştirebilir ve bu hesabı tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 do not check ownership or capability on the identifier supplied to their client profile update, allowing any authenticated user, such as a subscriber, to change the password and email address of any other account including an administrator, resulting in a full account takeover.

Ne yapmalı?

  1. Eklentilerin 1.7.8.7 sürümünden daha yeni, düzeltilmiş bir sürüme güncellenmesi gerekir. Güncelleme yapılana kadar her iki eklentiyi de devre dışı bırakmak en güvenli geçici çözümdür. Genel öneri
  2. Güncelleme sonrasında yönetici hesaplarının parolalarını değiştirin ve e-posta adreslerini kontrol edin; beklenmeyen değişiklik olup olmadığını inceleyin. Genel öneri
  3. Abone ve müşteri gibi düşük yetkili kullanıcı hesaplarının kayıt ve kullanım durumunu gözden geçirin, gereksiz hesapları kaldırın. Genel öneri

Ek önlemler

  • Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın. Genel öneri
  • Yönetici hesaplarındaki parola ve e-posta değişikliklerini izleyin ve beklenmeyen değişikliklerde uyarı alacak şekilde günlük kaydını ayarlayın. Genel öneri
  • Kullanılmayan eklentileri kaldırın ve eklentilerin güvenlik güncellemelerini düzenli olarak takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
MDJM Event Management ≤ 1.7.8.7 –
Mobile Events Manager ≤ 1.7.8.7 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.