Siteler arası istek sahteciliği (CSRF)
Son 12 ayda yayımlanan WordPress kayıtlarının 326 tanesi (%5) bu türden. Bunların 318 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 1
- Yüksek 32
- Orta 293
Ne demek
Eklentinin bir ayar ya da işlem formu, isteğin gerçekten sitenin kendi sayfasından gelip gelmediğini (nonce denilen tek kullanımlık anahtarla) kontrol etmiyor. Saldırgan, yöneticiyi kendi hazırladığı bir sayfaya çektiğinde yöneticinin tarayıcısı bu isteği onun adına gönderir.
Ne kadar tehlikeli
Saldırı ancak oturumu açık bir yönetici bağlantıya tıklarsa işler; bu yüzden puanlar genellikle orta düzeydedir. Değiştirilen ayar bir betik alanıysa CSRF, kalıcı XSS ile birleşebilir.
Bu türdeki kayıtların ortanca CVSS puanı 4,3; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 15 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Yönetici oturumu açıkken bilmediğiniz bağlantılara tıklamamak bu türün etkisini azaltır. Yönetim işleri için ayrı bir tarayıcı profili kullanmak da işe yarar.
Geliştirici tarafı
Formlara wp_nonce_field, işlem tarafına check_admin_referer ya da wp_verify_nonce eklenmeli.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-352 (326).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 43 kayıt çıktı, ondan önceki üç ayda 95. Kayıtların 3 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| BEAREklenti | 4 | 5 |
| Appointment Booking PluginEklenti | 4 | 34 |
| SurveyJSEklenti | 4 | 5 |
| Media Library AssistantEklenti | 3 | 9 |
| Patreon WordPressEklenti | 3 | 5 |
| Contact Form by SupsysticEklenti | 2 | 8 |
| User Registration & MembershipEklenti | 2 | 28 |
| Salon Booking SystemEklenti | 2 | 17 |
| WPLP Cookie ConsentEklenti | 2 | 16 |
| WC VendorsEklenti | 2 | 5 |
En yeni 15 kayıt
- 4,3Orta
Contact Form by Supsystic
29 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 1.11.1Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.11.1 öncesindeki sürümler etkileniyor, düzeltme 1.11.1 sürümünde.
- 5,4Orta
Contact Form by Supsystic
29 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 1.11.1Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.11.1 öncesindeki sürümler etkileniyor, düzeltme 1.11.1 sürümünde.
- 4,3Orta
WP Photo Album Plus
29 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 9.3.04.004Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 9.3.04.004 öncesindeki sürümler etkileniyor, düzeltme 9.3.04.004 sürümünde.
- 8,8Yüksek
Memberpress
28 Ekim 2026 CSRF Eklenti Giriş gerekmiyor 1.14.1 ve öncesiSiteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.14.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Media Library Assistant
28 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 3.42Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.42 öncesindeki sürümler etkileniyor, düzeltme 3.42 sürümünde.
- 6,5Orta
Media Library Assistant
28 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 3.42Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.42 öncesindeki sürümler etkileniyor, düzeltme 3.42 sürümünde.
- 8,8Yüksek
VikRentCar Car Rental Management System
28 Ekim 2026 CSRF Eklenti Giriş gerekmiyor 1.4.8 ve öncesiSiteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.4.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 4,3Orta
Download Manager
21 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 3.3.71Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.3.71 öncesindeki sürümler etkileniyor, düzeltme 3.3.71 sürümünde.
- 7,5Yüksek
Uncanny Toolkit for LearnDash
21 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 3.8.2Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.8.2 öncesindeki sürümler etkileniyor, düzeltme 3.8.2 sürümünde.
- 4,3Orta
User Registration & Membership
17 Ekim 2026 CSRF Eklenti Giriş gerekmiyor 5.2.8 ve öncesiSiteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 5.2.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Patreon WordPress
17 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 1.10.0Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.10.0 öncesindeki sürümler etkileniyor, düzeltme 1.10.0 sürümünde.
- 8,8Yüksek
Salon Booking System
16 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 10.31.9Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 10.31.9 öncesindeki sürümler etkileniyor, düzeltme 10.31.9 sürümünde.
- 4,3Orta
Hotel Booking
12 Ekim 2026 CSRF Eklenti Giriş gerekmiyor 3.8 ve öncesiSiteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,4Yüksek
Patreon WordPress
12 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 1.11.0Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.10.0 ve önceki sürümler etkileniyor, düzeltme 1.11.0 sürümünde.
- 8,1Yüksek
Patreon WordPress
12 Ekim 2026 CSRF Eklenti Giriş gerekmiyor Düzeltme 1.10.0Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.9.17 ve önceki sürümler etkileniyor, düzeltme 1.10.0 sürümünde.