- Son 7 gün
- CWE-79
CVE-2026-88801
MDJM Event Management ve Mobile Events Manager eklentilerinde yetkisiz rol oluşturma kaynaklı depolanmış XSS
- Yayımlandı
- Güncellendi
- 6 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- WPScan
Yönetici özeti
Bu açık, sitenize sahip olmayan kayıtlı herhangi bir kullanıcının yöneticilerinizi hedef almasına olanak tanıyor. Sonuçta saldırgan yönetici hesabını ele geçirebilir ve web sitenizin tamamı üzerinde kontrol kazanabilir. Etkilenen eklentiler kullanılıyorsa güncelleme veya koruyucu önlem alınması acil öncelik taşıyor.
ÖzetTürkçe
MDJM Event Management ve Mobile Events Manager WordPress eklentilerinin 1.7.8.7 sürümüne kadar olan sürümleri, istek üzerinden alınan bir adla WordPress rolü oluştururken yetki veya nonce kontrolü yapmıyor. Ad, kaçış işlemi uygulanmadan kaydedildiği için kimliği doğrulanmış herhangi bir kullanıcı, örneğin abone rolündeki bir hesap, zararlı betik ekleyebiliyor. Bu betikler bir yönetici standart kullanıcı yönetimi ekranlarından birini açtığında çalışıyor.
Saldırgan ne yapabilir?
Saldırgan, yönetici oturumunda kötü amaçlı betik çalıştırarak yönetici yetkilerini ele geçirebilir veya site üzerinde yetkisiz işlemler yaptırabilir. Bu durum, sitenin tamamen kontrolünün kaybedilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
The MDJM Event Management and Mobile Events Manager WordPress plugins through 1.7.8.7 do not check a capability or a nonce before creating a WordPress role from a name supplied in the request, and store that name without escaping it, allowing any authenticated user, such as a subscriber, to inject arbitrary web scripts which execute when an administrator opens one of the standard user management screens.
Ne yapmalı?
- Eklentinin 1.7.8.7 sürümünden daha yeni, düzeltilmiş bir sürüme güncelleyin. Güncel sürüm tedarikçi tarafından sağlanmıyorsa eklentiyi geçici olarak devre dışı bırakın. Genel öneri
- Güncelleme yapılana kadar yönetici kullanıcı yönetimi ekranlarını açmadan önce yeni veya şüpheli rolleri ve kullanıcı adlarını kontrol edin. Genel öneri
- Abone veya benzeri düşük yetkili hesapların oluşturulmasını ve kayıt işlemlerini kısıtlayın, gereksiz kayıtları kapatın. Genel öneri
- Sistemde beklenmeyen rol oluşturulup oluşturulmadığını ve yönetici hesaplarında olağandışı değişiklik olup olmadığını inceleyin. Şüpheli bulgu varsa parolaları değiştirin. Genel öneri
Ek önlemler
- Yönetici hesaplarında iki faktörlü doğrulamayı etkinleştirin. Genel öneri
- Yönetici yetkisine sahip kullanıcıların sayısını en aza indirin ve yalnızca gerekli kişilere yetki verin. Genel öneri
- Yeni rol oluşturma ve kullanıcı yönetimi olaylarını izleyip kayıt altına alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| MDJM Event Management | ≤ 1.7.8.7 | – |
| Mobile Events Manager | ≤ 1.7.8.7 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/2b8d19f5-4801-4a53-9001-9e58231e6837 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.