Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-94

CVE-2026-94267

Advanced Custom Fields: Extended eklentisinde yetkilendirme eksikliği nedeniyle kimlik doğrulamasız kod çalıştırma

Advanced Custom Fields: ExtendedAdvanced Custom Fields: Extended PRO

Kritik 9,0 CVSS 3.1
Yayımlandı
Güncellendi
23 Eki 2026
Açık yaşı
5 gün
Kaydı açan
WPScan

Yönetici özeti

Bu açık, sitenize kimlik doğrulaması yapmadan erişen kişilerin içerikleri değiştirmesine ve sunucunuzun kontrolünü ele geçirmesine olanak tanıyabilir. Etkilenen eklenti kullanılıyorsa iş sürekliliği, müşteri verileri ve itibar açısından yüksek risk oluşturur ve hemen güncelleme yapılması gerekir.

ÖzetTürkçe

Advanced Custom Fields: Extended ve Advanced Custom Fields: Extended PRO WordPress eklentilerinin 0.9.2.8 öncesi sürümlerinde, ön yüz form işlemleriyle yazı güncellenirken yetki denetimi yapılmamaktadır. Bu nedenle kimliği doğrulanmamış ziyaretçiler, sitenin alan tanımlarını da içerebilen rastgele yazıların üzerine yazabilmektedir. Saldırı için sitede, yazı güncelleme işleminin hedefini ve içeriğini ziyaretçi girdisine bağlayan bir form yayımlanmış olmalıdır.

Saldırgan ne yapabilir?

Saldırgan, yazıların üzerine yazarak sunucuda rastgele kod çalıştırabilir ve siteyi tamamen ele geçirebilir.

Kaynaktaki açıklama (İngilizce)

The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not perform any capability check when updating a post through one of its front-end form actions, allowing unauthenticated visitors to overwrite arbitrary posts, including the ones in which the site stores its own field definitions, which in turn leads to arbitrary code execution on the server. Exploitation requires the site to publish a form whose post-update action maps both its target and its content to visitor-submitted values.

Ne yapmalı?

  1. Advanced Custom Fields: Extended ve Advanced Custom Fields: Extended PRO eklentilerini 0.9.2.8 veya üzeri bir sürüme güncelleyin. Üretici
  2. Ön yüzde yazı güncelleme işlemi yapan formları gözden geçirin ve hedef yazı ile içeriğin ziyaretçi girdisinden bağımsız olarak sabitlendiğini doğrulayın. Genel öneri
  3. Güncelleme yapılamıyorsa, eklentiyi devre dışı bırakarak açığın istismar edilmesini engelleyin. Genel öneri

Ek önlemler

  • Güncelleme sonrasında sitedeki yazı ve alan tanımlarında beklenmeyen değişiklik olup olmadığını kontrol edin. Genel öneri
  • Yönetici hesaplarında ve dosya sisteminde şüpheli değişiklikleri izleyin ve yedeklerinizin güncel olduğundan emin olun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler2 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Advanced Custom Fields: Extended < 0.9.2.8 0.9.2.8
Advanced Custom Fields: Extended PRO < 0.9.2.8 0.9.2.8

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.