Eklentim ya da temam güvende mi?
Elementor Website Builder 3.33.3
- En yüksek şiddet
- Orta
- Giriş gerektirmeyen
- 0
- Saldırıda kullanılan
- 0
- Toplam kayıt (12 ay)
- 8
WordPress.org’daki güncel sürüm 4.3.5. Kayıtlardaki sürüm bilgisine göre bu sürüm, sizi etkileyen 8 kaydın hepsini kapatıyor; 4.3.5 sürümüne güncelleyin.
- 6,8Orta
- 6,4Orta
- 6,4Orta
- 6,4Orta
- 6,4Orta
- 4,9Orta
İlk 6 kayıt gösteriliyor; tamamı ayrıntılı karnede.
Nasıl hesaplıyoruz
Her kayıt NVD’den (ABD Ulusal Açık Veritabanı) son 12 ay için alınır ve her gece yenilenir. Kayıtta “X ve öncesi” yazıyorsa sizin sürümünüz X’e eşit ya da daha eskiyse, “düzeltme Y’de” yazıyorsa Y’den eskiyse kayıt sizi etkiliyor sayılır; sürümler parça parça sayı olarak karşılaştırılır (3.10, 3.9’dan yenidir). Güncel sürüm önerisi WordPress.org dizinindeki sürümden gelir.
Kayıtlar etkilenen ilk sürümü her zaman yazmadığı için çok eski sürümler gerçekte etkilenmeyebilir; sürüm aralığı yazmayan kayıtları ayrıca gösteririz. Bu araç sitenizi taramaz ve “açık yok” sonucu bir güvenlik garantisi değildir. Ayrıntı: veri ve yöntem.
Kullandığınız eklentide ya da temada yeni bir güvenlik açığı çıktı mı, kimin kullanabileceği bir açık bu, düzeltme hangi sürümde geldi? Ücretli Tema, ABD’nin ulusal açık veritabanı NVD’deki WordPress kayıtlarını her gece alıp bu üç soruya sade bir cevap veriyor.
- Kritik 70
- Yüksek 368
- Orta 657
- Düşük 62
Bu hafta öne çıkanlar
Son 7 günün kayıtları; puanı yüksek, giriş gerektirmeyen ve saldırıda kullanıldığı bildirilenler üstte.
- 9,8Kritik
Uncanny Toolkit for LearnDash
31 Ekim 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 3.8.2 ve öncesiKimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.8.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
SimpleForm
31 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 3.10.2 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.10.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Project Manager
31 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 4.1.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
PDF Invoice for WooCommerce + Drag and Drop Template Builder
31 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 7.1.1 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 7.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Gravity Forms
30 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 3.1.2 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,8Kritik
GEO my WP
29 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 4.5.5.4PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.5.5.3 ve önceki sürümler etkileniyor, düzeltme 4.5.5.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,8Kritik
Chat AI with Dispatcher
29 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 2.4Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4 öncesindeki sürümler etkileniyor, düzeltme 2.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,8Kritik
LogixFast Auth
29 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 1.0.4Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.4 öncesindeki sürümler etkileniyor, düzeltme 1.0.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
Ay ay kayıt sayısı
1 Kasım 2025 tarihinden bu yana her ay ortalama 581 WordPress kaydı yayımlandı. En yoğun ay Ekim 2026 oldu. Bir çubuğa dokunursanız o ayın raporu açılır.
Son 90 günde en çok kayıt çıkanlar
| Ürün | 90 gün | 12 ay |
|---|---|---|
| GeoDirectoryEklenti | 27 | 28 |
| KirkiEklenti | 23 | 36 |
| EventinEklenti | 23 | 28 |
| Forminator FormsEklenti | 22 | 31 |
| MasterStudy LMS WordPress PluginEklenti | 21 | 25 |
| LearnPressEklenti | 20 | 37 |
| Tutor LMSEklenti | 19 | 42 |
| Ninja FormsEklenti | 17 | 29 |
| WP Directory KitEklenti | 17 | 23 |
| User Profile BuilderEklenti | 16 | 20 |
En sık açık türleri
Kayıtların %32’si tek bir türden, siteler arası betikten (XSS) geliyor. Türlerin her birinin ne anlama geldiğini ve site sahibi olarak ne yapabileceğinizi ayrı sayfalarda anlattık.
Ücretli tema ve eklentiler de listede
Kayıtların 1.379 tanesi (%20) WordPress.org dizininde bulunmayan ürünlere ait. Bunların çoğu ThemeForest, CodeCanyon ya da geliştiricinin kendi sitesinde satılan ücretli tema ve eklentiler. Ücretli bir ürün için güncelleme genellikle lisans anahtarıyla gelir; lisans süresi dolduğunda güvenlik düzeltmesi de gelmeyebilir. Tema kayıtlarının tamamını temalar sayfasında listeledik.
Rehberden
Sitenizin bir eklenti açığıyla ele geçirildiğinden şüpheleniyorsanız ilk savunma adımları ve kişisel veri sızdıysa KVKK’nın 72 saatlik bildirim kuralı.
Puanı okumakAktif istismar ve kavram kanıtı, puandan önce bakılacak iki etiketCISA’nın CVE kayıtlarına eklediği SSVC alanları ne söyler; WordPress kayıtlarında kavram kanıtı ve aktif istismar oranı ve bu etiketlerle öncelik sırası kurmak.
Site sahibi içinWordPress.org dizininde kapatılan eklenti, uyarıyı görünce ne yapmalıWordPress.org’da kapatılan eklentinin uyarısı, 60 gün kuralı, kapatmadan sonra da yeni açık kaydı çıkmaya devam etmesi ve sitenizde kuruluysa izlenecek yol.
Açık türleriDosya yükleme açıkları, ortanca puanı 8,8 olan WordPress kayıtlarıCWE-434 kayıtları az ama ağır, yarıdan fazlası giriş gerektirmiyor. Yükleme klasöründe betik çalıştırmayı kapatmanın mantığı ve site sahibinin yapabilecekleri.
Bu site ne yapar, ne yapmaz
Her kaydı NVD’den alır, zayıflık türünü, CVSS puanını, gereken kullanıcı yetkisini ve sürüm aralığını okuyup Türkçe bir özet çıkarırız. WordPress.org dizinindeki ürünlerde güncel sürümü de kontrol eder, “güncel sürüm bu açıklardan etkileniyor mu?” sorusuna kayıtlardaki bilgiyle cevap veririz. Sitenizi taramayız, açıkların nasıl kullanılacağını anlatmayız ve güvenlik ürünü satmayız. Ayrıntılar veri ve yöntem sayfasında.