- Yama var
- Son 7 gün
- CWE-269
CVE-2026-94268
Advanced Custom Fields: Extended eklentisinde kimlik doğrulaması gerektirmeyen yönetici hesabı ele geçirme açığı
Advanced Custom Fields: ExtendedAdvanced Custom Fields: Extended PRO
- Yayımlandı
- Güncellendi
- 23 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
WordPress için geliştirilen Advanced Custom Fields: Extended eklentisinin 0.9.2.8 sürümünden önceki sürümleri ile Advanced Custom Fields: Extended PRO eklentisinin 0.9.2.8 sürümünden önceki sürümleri, ön yüz Forms modülündeki kullanıcı güncelleme eyleminin hedefini, isteği yetkilendiren aşama ile bu isteği yerine getiren aşama arasında tutarlı biçimde çözümlemez. Bu durum, kimliği doğrulanmamış ziyaretçilerin site yöneticisi hesaplarını koruyan koruma mekanizmasını atlatmasına, site yöneticisinin hesabını ele geçirmesine ve bu hesap için geçerli bir oturum elde etmesine olanak tanır. Saldırının gerçekleştirilebilmesi için sitenin, hedefleri ziyaretçi tarafından gönderilen değerlerle eşleştirilmiş iki ayrı ön yüz form yapılandırmasını yayımlaması gerekir.
Kaynaktaki açıklama (İngilizce)
The Advanced Custom Fields: Extended WordPress plugin before 0.9.2.8, Advanced Custom Fields: Extended PRO WordPress plugin before 0.9.2.8 does not resolve the target of the update-user action in its front-end Forms module consistently between the stage that authorises the request and the stage that carries it out, which allows unauthenticated visitors to bypass the guard protecting administrator accounts, take over the site administrator's account and be issued a valid session for it. Exploitation requires the site to publish two separate front-end form configurations whose targets are mapped to visitor-submitted values.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Advanced Custom Fields: Extended | ≥ 0.9.2.7, < 0.9.2.8 | 0.9.2.8 |
| Advanced Custom Fields: Extended PRO | ≥ 0.9.2.7, < 0.9.2.8 | 0.9.2.8 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/eccfab3c-e7cc-4623-9c20-4cd6c32f8422 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.