Siber Güvenlik Başkanlığı, 28 WordPress eklentisindeki 34 güvenlik zafiyeti için TR-26-1311 kodlu bildirim yayımladı. 14 Ekim 2026'da yayımlanan bildirimde, zafiyetler nedeniyle hedef sistemlerin siber saldırganlar tarafından saldırıya uğrama ihtimali bulunduğu belirtildi. CVE kayıtlarına göre listede kimlik doğrulaması gerektirmeyen dosya yükleme, SQL enjeksiyonu ve uzaktan kod çalıştırma açıkları da bulunuyor. Başkanlık, site yöneticilerine yayımlanan dokümanları incelemelerini ve eklentilerini gözden geçirerek gerekli önlemleri ivedilikle almalarını tavsiye ediyor.
Öne çıkan güvenlik zafiyetleri
CVE kayıtlarının tamamı Wordfence tarafından açıldı. Kayıtlara göre en yüksek puanlı güvenlik açıkları şu eklentilerde yer alıyor:
Abandoned Cart Pro for WooCommerce eklentisinin 10.8.0 ve öncesi sürümlerinde, CVE kaydına göre 9.8 CVSS puanıyla değerlendirilen iki açık bulunuyor. CVE-2026-97657 kimlik doğrulamasız oturum atlatmaya, CVE-2026-97668 ise kimlik doğrulamasız SQL enjeksiyonuna yol açıyor. Aynı eklentide ayrıca 7.5 puanlı CVE-2026-102251 kodlu bir SQL enjeksiyonu açığı daha kayıtlı.
Snazzy Social Media Feed eklentisinin 2.5 ve öncesi sürümlerinde, CVE kaydına göre 9.8 CVSS puanına sahip CVE-2026-110002 kodlu kimlik doğrulamasız rastgele dosya yükleme açığı tespit edildi.
JTL-Connector for WooCommerce eklentisinin 2.4.3 ve öncesi sürümleri, CVE kaydına göre 9.8 CVSS puanlı CVE-2026-87855 kodlu kimlik doğrulamasız rastgele dosya yükleme açığı içeriyor. Eklentide ayrıca 7.5 puanlı CVE-2026-78193 kodlu bir SQL enjeksiyonu zafiyeti bulunuyor.
AGE-GATE eklentisinin 1.0 ve öncesi sürümlerinde, CVE kaydına göre 9.8 CVSS puanı alan CVE-2026-104800 kodlu PHP kod enjeksiyonu üzerinden kimlik doğrulamasız uzaktan kod çalıştırma zafiyeti yer alıyor.
HoliThemes'in Click to Chat eklentisinin 4.44 ve öncesi sürümlerinde, CVE kaydına göre 9.1 CVSS puanıyla değerlendirilen CVE-2026-92097 kodlu kimlik doğrulamasız rastgele kısa kod çalıştırma açığı yer alıyor.
Directorist eklentisinin 8.10.2.1 ve öncesi sürümlerinde CVE kaydına göre 8.1 CVSS puanlı yetki denetimi eksikliği (CVE-2026-17092) ve 6.4 puanlı saklı XSS açığı (CVE-2026-100185) bulunuyor. BP Profile Search eklentisinin 5.9 ve öncesi sürümleri ise 8.1 puanlı yerel dosya dahil etme üzerinden uzaktan kod çalıştırma açığından (CVE-2026-104995) etkileniyor.
Bildirimde yer alan diğer eklentiler ve CVE kayıtları
Bildirim kapsamındaki diğer eklentiler ve etkilenen sürümler şu şekilde listelendi:
- Gmedia Photo Gallery (1.25.1 ve öncesi): CVE-2026-96661 (SQL enjeksiyonu, CVSS 7.5)
- Form Maker by 10Web (1.15.48 ve öncesi): CVE-2026-95808 (SQL enjeksiyonu, CVSS 7.5)
- Membership & User Roles for WooCommerce (20260828 ve öncesi): CVE-2026-104767 (Yetki yükseltme, CVSS 7.5)
- Bit integrations (2.10.6 ve öncesi): CVE-2026-104749 (Yetki yükseltme, CVSS 7.5)
- Booking Package (1.7.29 ve öncesi): CVE-2026-103423 (Yetkisiz bilgi ifşası, CVSS 7.5) ve CVE-2026-103425 (Saklı XSS, CVSS 6.4)
- AnyComment (0.3.6 ve öncesi): CVE-2026-103422 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- NewStatPress (1.4.5 ve öncesi): CVE-2026-101924 ve CVE-2026-100153 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- FV Flowplayer Video Player (7.5.54.7212 ve öncesi): CVE-2026-97398 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Contact Form DB for Enfold (2.0.2 ve öncesi): CVE-2026-83592 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Smart Forms (2.6.104 ve öncesi): CVE-2026-95816 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Verified Reviews (Avis Vérifiés) (2.4.6 ve öncesi): CVE-2026-94377 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Cryptocurrency Donation Box (2.2.13 ve öncesi): CVE-2026-93885 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Document Gallery (5.1.1 ve öncesi): CVE-2026-77114 (Kimlik doğrulamasız saklı XSS, CVSS 7.2)
- Hyyan WooCommerce Polylang Integration (1.5.0 ve öncesi): CVE-2026-101926 (Abone yetkisi gerektiren SQL enjeksiyonu, CVSS 6.5)
- GetSocial.io Social Share Buttons (4.5 ve öncesi): CVE-2026-103369 (Saklı XSS, CVSS 6.4)
- PO/MO Editor (1.4.2 ve öncesi): CVE-2026-97020 (Saklı XSS, CVSS 6.4)
- Countdown Timer – Widget Countdown (3.0.0–3.0.1 sürümleri): CVE-2026-16495 (Saklı XSS, CVSS 6.4)
- FV Player 8 (8.1.7 ve öncesi): CVE-2026-95807 (Saklı XSS, CVSS 6.4)
- CFDB7 (Database Addon for Contact Form 7) (1.4.1 ve öncesi): CVE-2026-107652 (Sınırlı dosya silme, CVSS 5.3)
- Avada (Fusion) Builder (3.16.1 ve öncesi): CVE-2026-97471 (Bilgi ifşası, CVSS 5.3)
- Tutor LMS (4.1.0 ve öncesi): CVE-2026-100193 (Yansıtılmış XSS, CVSS 4.7)
Açıkların sahada kullanılıp kullanılmadığı ve etkilenen site sayısı bilinmiyor. Kayıtlar yalnızca etkilenen sürüm üst sınırını içerdiğinden, her eklenti için düzeltme durumu eklentinin WordPress.org veya Wordfence sayfasından kontrol edilmeli.
Kaynaklar
- T.C. Siber Güvenlik Başkanlığı Güvenlik Bildirimi (TR-26-1311)
- Wordfence Threat Intelligence
- Patchstack Vulnerability Database
- WPScan Plugin Database
- CVE-2026-97657 Kaydı
- CVE-2026-104800 Kaydı
Kapak görseli: WordPress W işareti / Wikimedia Commons, kamu malı (1200×675 uyarlandı).
