Açık türü · 15. sırada

Yerel dosya dahil etme (LFI)

Son 12 ayda yayımlanan WordPress kayıtlarının 78 tanesi (%1) bu türden. Bunların 43 tanesi giriş yapmadan kullanılabiliyor.

Kritik 6
Yüksek 56
Orta 16

Ne demek

Eklenti, hangi şablon dosyasının yükleneceğini kullanıcıdan gelen bir parametreyle belirliyor. Saldırgan bu parametreye sunucudaki başka bir dosyanın yolunu yazarak o dosyayı PHP olarak çalıştırır.

Ne kadar tehlikeli

Sunucuya daha önce bir resim ya da günlük dosyası içinde PHP kodu bırakılabildiyse, dosya dahil etme açığı onu çalıştırmanın yolu olur. Tema kayıtlarında oranı eklentilere göre daha yüksektir.

Bu türdeki kayıtların ortanca CVSS puanı 8,1; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 10 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.

Site sahibi ne yapabilir

Tema ya da eklenti güncellemesi gelene kadar, katkıcı düzeyinde kullanıcı açmamak ve uploads klasöründe PHP çalışmasını kapatmak etkiyi sınırlar.

Geliştirici tarafı

Yüklenecek şablon adı izinli listeden seçilmeli; locate_template ya da sabit bir eşleme tablosu kullanılmalı.

Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-98 (78).

Saldırgan kim olmalı

CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.

Giriş gerekmiyor43
Abone hesabı12
Katkıcı hesabı17
Yazar hesabı2
Yönetici hesabı4

Aylara göre

Son üç tam ayda 20 kayıt çıktı, ondan önceki üç ayda 18. Kayıtların 15 tanesi tema, gerisi büyük ölçüde eklenti kaydı.

Bu türde en çok kaydı olan ürünler

Ürün	Bu türde	Toplam
EventinEklenti	2	28
RTMKit for ElementorEklenti	2	9
Photo Gallery, Sliders, Proofing and ThemesEklenti	2	11
Bit FlowsEklenti	1	1
Ad WidgetEklenti	1	1
Issuu PanelEklenti	1	1
LifterLMSEklenti	1	6
BP Profile SearchEklenti	1	1
Mang BoardEklenti	1	12
ShopMagicEklenti	1	1

En yeni 15 kayıt

5,9Orta

Bit Flows

28 Ekim 2026 LFI Eklenti Giriş gerekmiyor 1.31.0 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.31.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-110185 (NVD) Wordfence kaydı
7,5Yüksek

Ad Widget

22 Ekim 2026 LFI Eklenti Abone hesabı Kavram kanıtı var Düzeltme 2.12.0

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.12.0 öncesindeki sürümler etkileniyor, düzeltme 2.12.0 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış.

CVE-2017-20289 (NVD) VulnCheck kaydı
8,1Yüksek

Issuu Panel

20 Ekim 2026 LFI Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 1.6.6

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.6.6 öncesindeki sürümler etkileniyor, düzeltme 1.6.6 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış.

CVE-2016-20101 (NVD)
7,5Yüksek

LifterLMS

14 Ekim 2026 LFI Eklenti Abone hesabı 10.3.1 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 10.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-110284 (NVD) Wordfence kaydı
8,1Yüksek

BP Profile Search

14 Ekim 2026 LFI Eklenti Giriş gerekmiyor 5.9 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-104995 (NVD) Wordfence kaydı
8,1Yüksek

Mang Board

14 Ekim 2026 LFI Eklenti Giriş gerekmiyor 2.4.3 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.4.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-104909 (NVD) Wordfence kaydı
8,1Yüksek

ShopMagic

14 Ekim 2026 LFI Eklenti Giriş gerekmiyor 4.9.0 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.9.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-103367 (NVD) Wordfence kaydı
8,1Yüksek

GeoDirectory

10 Ekim 2026 LFI Eklenti Giriş gerekmiyor 2.8.187 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.8.187 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-104899 (NVD) Wordfence kaydı
7,5Yüksek

WPCafe

3 Ekim 2026 LFI Eklenti Katkıcı hesabı 3.0.18 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.0.18 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-75028 (NVD) Wordfence kaydı
7,5Yüksek

SiteOrigin Widgets Bundle

2 Ekim 2026 LFI Eklenti Katkıcı hesabı 1.73.2 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.73.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-92174 (NVD) Wordfence kaydı
7,5Yüksek

Simply Schedule Appointments

30 Eylül 2026 LFI Eklenti Abone hesabı 1.6.12.27 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.6.12.27 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-89294 (NVD) Wordfence kaydı
7,5Yüksek

WP Maps

25 Eylül 2026 LFI Eklenti Abone hesabı 4.9.8 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.9.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-13456 (NVD) Wordfence kaydı
9,8Kritik

Visual Composer Website Builder

24 Eylül 2026 LFI Eklenti Giriş gerekmiyor 45.16.0 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 45.16.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-12227 (NVD) Wordfence kaydı
8,1Yüksek

HUSKY

22 Eylül 2026 LFI Eklenti Giriş gerekmiyor 1.4.4 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.4.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-92969 (NVD) Wordfence kaydı
7,5Yüksek

WP Travel Engine

22 Eylül 2026 LFI Eklenti Katkıcı hesabı 6.8.0 ve öncesi

Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 6.8.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

CVE-2026-9231 (NVD) Wordfence kaydı