- Son 7 gün
- CWE-862
CVE-2026-88800
MDJM Event Management ve Mobile Events Manager eklentisinde yetkisiz rol silme açığı
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, web sitenizi yöneten kişilerin yetkilerinin kimliği doğrulanmamış herkes tarafından silinmesine yol açabilir ve site yönetimini ciddi biçimde aksatabilir. Etkilenen eklentiler yaygın kullanılan etkinlik yönetim araçları olduğu için risk yüksektir ve acil işlem gerektirir.
ÖzetTürkçe
MDJM Event Management ve Mobile Events Manager WordPress eklentilerinin 1.7.8.7 sürümüne kadar olan sürümlerinde, rol silme isteği her sayfa yüklemesinde yetki denetimi ve nonce doğrulaması yapılmadan işlenmektedir. Kullanıcı atamalarını koruması gereken kontrol, silinecek rolü seçen istek parametresinden farklı bir parametreyi okuduğu için korumayı atlatmak mümkündür. Bu durum, kimlik doğrulaması olmayan saldırganların yönetici dahil herhangi bir WordPress rolünü silmesine olanak tanımaktadır.
Saldırgan ne yapabilir?
Saldırgan, yönetici rolü dahil herhangi bir WordPress rolünü kalıcı olarak silebilir; bu da tüm kullanıcıların yetkilerini kaybetmesi ve site yönetiminin ciddi biçimde aksaması anlamına gelir.
Kaynaktaki açıklama (İngilizce)
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 act on a role deletion request on every page load with no capability check and no nonce, and the guard meant to protect roles that have users assigned reads a different part of the request from the one that selects what is deleted, allowing unauthenticated attackers to remove any WordPress role including administrator, which permanently strips every user of their capabilities.
Ne yapmalı?
- Eklentinin 1.7.8.7 sürümünden daha yeni, açığı gidermiş bir sürüme güncelleyin. Güvenli sürümün adı ve kesin numarası veri kaynağında belirtilmediği için satıcının yayımladığı en güncel sürümü kontrol edin. Genel öneri
- Güncelleme yapılana kadar her iki eklentiyi (MDJM Event Management ve Mobile Events Manager) devre dışı bırakın veya kaldırın. Genel öneri
- Site yöneticisi rollerinin ve kullanıcı yetkilerinin silinip silinmediğini kontrol edin; eksik roller varsa yedeklemeden geri yükleyin. Genel öneri
Ek önlemler
- Yönetici rolüne sahip kullanıcıların listesini ve rol yapılandırmalarını düzenli olarak yedekleyin. Genel öneri
- Eklenti güncellemelerini takip edin ve kullanılmayan eklentileri sitenizden kaldırın. Genel öneri
- Beklenmedik rol değişikliklerini ve yönetici yetkisi kayıplarını izleyen bir günlükleme mekanizması kullanın. Genel öneri
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MDJM Event Management | ≤ 1.7.8.7 | – |
| Mobile Events Manager | ≤ 1.7.8.7 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/f39f77ac-1885-4021-a4d2-5a2b7c5260b5 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.