WordPress tarafında geçen hafta yayınlanan güvenlik kayıtları, eklenti kodundaki küçük hataların bir siteyi nasıl tamamen açık hale getirebildiğini gösteriyor. İki popüler eklentide sosyal giriş akışı yanlış kurulmuş durumda: saldırgan şifre bilmeden, hatta siteye üye olmadan yönetici hesabıyla oturum açabiliyor. Her iki açık için düzeltilmiş sürümler yayınlandı, ancak güncellemeyi atlayan siteler açık vermeye devam ediyor.
Jupiter X Core’da X girişi uygulama sahibinin hesabını doğruluyor
CVE-2026-106013, Jupiter X Core eklentisinin 4.61.0 ve öncesi sürümlerini etkiliyor. 9.8 puanlık kimlik doğrulama atlatma açığı 4.62.0 sürümünde kapatıldı. Sorun, eklentinin Twitter/X sosyal giriş işleyicisindeki verify_twitter_callback fonksiyonunda: ziyaretçinin gönderdiği oauth_verifier değeri erişim anahtarına çevrildikten sonra setOauthToken() çağrılmıyor.
Bu yüzden sonraki account/verify_credentials isteği ziyaretçinin değil, sitenin X uygulamasına kayıtlı hesabın anahtarıyla imzalanıyor. X API ziyaretçinin profilini değil, uygulama sahibinin profilini döndürüyor. Eklenti dönen e-posta adresiyle eşleşen WordPress kullanıcısını bulup wp_set_auth_cookie() ile oturum açıyor. Uygulama sahibi genellikle sitenin yöneticisi olduğu için sonuç, tek bir istekle yönetici paneline girmek oluyor. Açığı Wordfence araştırmacısı daroo bildirdi.
Qode Membership’da tek harflik yazım hatası yönetici yetkisi veriyor
CVE-2026-92885, Qode’un Bridge temasıyla birlikte dağıtılan Qode Membership eklentisinin 2.0.6.2 ve öncesi sürümlerinde. Facebook girişini işleyen qode_membership_login_user_from_social_network fonksiyonundaki kontrol, tanımlanmamış bir değişkene bakıyor: kodda $check_social_useqoder yazılmış, doğrusu $check_social_user olacaktı.
PHP’de tanımsız değişken üzerinde empty() her zaman true döndüğü için Facebook Graph API ile token doğrulayan dal hiç çalışmıyor ve wp_set_auth_cookie() çağrısı hiçbir kimlik doğrulaması olmadan erişilebilir kalıyor. Saldırganın ihtiyacı olan tek şey, sayfadaki qode_validate_facebook_login nonce değeri ve bir yönetici kullanıcı adı. Nonce, [qode_user_login] veya [qode_user_register] kısa kodunun bulunduğu herkese açık sayfalarda üretildiği için üyelik gerekmiyor. Düzeltme 2.0.6.3 sürümünde yayınlandı.
Aynı haftanın iki kritik kaydı daha
Kirki eklentisinin 6.2.5 ve öncesi sürümlerinde (CVE-2026-75891, 8.8 puan) abone düzeyindeki bir kullanıcı, kirki_post_apis() AJAX yönlendiricisinin get-single-symbol dalına veri enjekte edebiliyor. Yetki kontrolü olmadığı için PHP nesne enjeksiyonu mümkün hale geliyor; mevcut POP zinciri kullanılarak yönetici parolası değiştirilebiliyor. Düzeltme 6.3.0 sürümünde.
Checkout Files Upload for WooCommerce eklentisinde ise (CVE-2026-103688, 9.8 puan) kabul edilen dosya türü ayarı boş bırakıldığında eklenti hiçbir tür kontrolü yapmıyor. Giriş yapmamış bir saldırgan PHP dosyası yükleyip sunucuda kod çalıştırabiliyor. 2.4.0 sürümü bu açığı kapatıyor.
Ne yapmalı
Jupiter X Core’u 4.62.0, Qode Membership’ı 2.0.6.3, Kirki’yi 6.3.0 ve Checkout Files Upload for WooCommerce’ı 2.4.0 sürümüne güncelleyin. Kullanmadığınız eklentileri tamamen kaldırın. Sosyal giriş özelliğini kullanmıyorsanız kapatın. Ardından yönetici listesini gözden geçirin; son günlerde açılmış hesaplar, değişmiş parolalar ve tanımadığınız eklentiler varsa sitenin ele geçirilmiş olma ihtimalini değerlendirin. Yönetici hesaplarında iki adımlı doğrulamayı açık tutun.
Kaynak: Wordfence Intelligence · WPScan · NVD
Deneyimini paylaş
Bir sorunun, farklı bir çözümün veya eklemek istediğin bir notun var mı? Giriş yapmadan da yazabilirsin.