- Son 7 gün
- CWE-287
CVE-2026-92885
Qode Membership eklentisinde sosyal giriş üzerinden kimlik doğrulama atlatma (hesap ele geçirme)
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- Wordfence
Yönetici özeti
Bu açık, web sitenizdeki üyelik girişinin kimliği doğrulanmamış kişilerce aşılmasına izin verebilir ve yönetici hesaplarının ele geçirilmesine yol açabilir. Bu durum veri kaybı, site kesintisi ve itibar zararı gibi ciddi iş riskleri doğurur. Eklenti kullanıyorsanız öncelikli olarak güncelleme yapılması ve kontrol edilmesi gerekir.
ÖzetTürkçe
Qode Membership, WordPress için geliştirilmiş bir üyelik eklentisidir. 2.0.6.2 dahil olmak üzere tüm sürümlerde, Facebook ile giriş doğrulama kontrolündeki bir yazım hatası nedeniyle token doğrulaması devre dışı kalmaktadır. Saldırgan, yönetici hesabı dahil mevcut bir WordPress kullanıcısının oturum açma adını e-posta yerine girerek bu hesaba giriş yapabilir. Kimlik doğrulama için gereken nonce değeri, [qode_user_login] veya [qode_user_register] kısa kodunu içeren herkese açık sayfalardan alınabilmektedir.
Saldırgan ne yapabilir?
Kimliği doğrulanmamış bir saldırgan, yönetici seviyesindeki hesaplar dahil herhangi bir mevcut WordPress hesabına giriş yaparak hesabı ele geçirebilir ve sitenin tamamını kontrol edebilir.
Kaynaktaki açıklama (İngilizce)
The Qode Membership plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 2.0.6.2 via the qode_membership_check_facebook_user AJAX action. This is due to a typographic error in the Facebook OAuth token verification guard within the qode_membership_login_user_from_social_network function — the guard condition tests an undefined variable ($check_social_useqoder instead of $check_social_user), causing empty() to always return true and rendering the Graph API token verification branch dead code, leaving wp_set_auth_cookie() reachable with no credential or token validation whatsoever. This makes it possible for unauthenticated attackers to log in as any existing WordPress account — including Administrator-level accounts — by supplying a known or enumerated administrator login name (rather than an email address) in the response[email] parameter, which the fallback path in get_user_by('login', $email) resolves to the matching account. Exploitation does require harvesting a valid qode_validate_facebook_login nonce, but this nonce is rendered on any public front-end page containing the [qode_user_login] or [qode_user_register] shortcode and is therefore obtainable without any prior authentication.
Ne yapmalı?
- Üretici tarafından sunulan düzeltilmiş bir sürüm bulunmadığından, eklentiyi güncelleyene kadar Qode Membership eklentisini devre dışı bırakın veya kaldırın. Genel öneri
- Yönetici hesaplarının parolalarını değiştirin ve tüm aktif oturumları sonlandırın; son giriş kayıtlarını ve yeni oluşturulmuş kullanıcıları inceleyin. Genel öneri
- Üretici kaynaklarını takip ederek eklenti için düzeltilmiş bir sürüm yayınlandığında hemen güncelleyin. Genel öneri
Ek önlemler
- Yönetici hesapları için çok faktörlü kimlik doğrulama kullanın. Genel öneri
- Yönetici kullanıcı adlarını tahmin edilmesi zor değerlerle değiştirin ve yaygın kullanıcı adlarından kaçının. Genel öneri
- Beklenmedik yönetici girişleri ve yeni kullanıcı oluşturma olayları için günlük kayıtlarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Qode Themes Qode Membership | ≤ 2.0.6.2 | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.