- Yama var
- Son 7 gün
- CWE-502
CVE-2026-94075
Newsletters WordPress eklentisi (newsletters-lite) PHP nesne enjeksiyonu açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- Patchstack
Yönetici özeti
Bu açık, web sitelerinde e-posta bültenleri yönetmek için kullanılan bir eklentiyi etkilemektedir ve kimlik doğrulaması gerektirmeden istismar edilebilmektedir. Başarılı bir saldırı, sitenin tamamen ele geçirilmesine ve müşteri verilerinin sızmasına yol açabilir. Bu nedenle etkilenen siteler için acil işlem gereklidir.
ÖzetTürkçe
Tribulant Software tarafından geliştirilen Newsletters WordPress eklentisinde, güvenilmeyen verinin deserialize edilmesinden kaynaklanan bir PHP nesne enjeksiyonu açığı bulunmaktadır. Açık, sürüm 4.18.1 ve öncesini etkilemektedir. Etkilenen sürümü kullanan siteler risk altındadır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan hazırlanmış bir veriyi sunucuya göndererek uygulama içindeki PHP nesnelerini manipüle edebilir ve duruma bağlı olarak uzaktan kod çalıştırma, veri okuma veya değiştirme gibi ciddi sonuçlara yol açabilir.
Kaynaktaki açıklama (İngilizce)
Deserialization of Untrusted Data vulnerability in Tribulant Software Newsletters newsletters-lite allows Object Injection.This issue affects Newsletters: from n/a through 4.18.1.
Üreticinin çözüm notu (İngilizce)
Update the WordPress Newsletters plugin to the latest available version (at least 4.18.2).
Ne yapmalı?
- Newsletters eklentisini, satıcının belirttiği şekilde en az 4.18.2 sürümüne veya mevcut en güncel sürüme güncelleyin. Üretici
- Güncelleme sonrasında eklentinin sürümünü kontrol edin ve sitenin düzgün çalıştığını doğrulayın. Genel öneri
- Güncelleme yapılamıyorsa eklentiyi geçici olarak devre dışı bırakın veya kaldırın. Genel öneri
Ek önlemler
- Web sunucusu ve WordPress erişim kayıtlarını şüpheli POST isteklerine karşı izleyin. Genel öneri
- Eklenti ve WordPress çekirdeğini düzenli olarak güncel tutun ve kullanılmayan eklentileri kaldırın. Genel öneri
- Veritabanı ve dosya sistemi üzerinde beklenmedik değişiklikler olup olmadığını tarayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Tribulant Software Newsletters | ≤ 4.18.1 | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.