Kısıtsız dosya yükleme
Son 12 ayda yayımlanan WordPress kayıtlarının 203 tanesi (%3) bu türden. Bunların 115 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 89
- Yüksek 100
- Orta 14
Ne demek
Eklentinin dosya yükleme alanı, yüklenen dosyanın türünü yeterince denetlemiyor. Saldırgan resim yerine PHP dosyası yükler ve sonra o dosyayı tarayıcıdan çağırarak sunucuda kod çalıştırır.
Ne kadar tehlikeli
Giriş gerektirmeyen dosya yükleme açıkları, sitenin tamamen ele geçirilmesine en kısa yoldur ve otomatik tarayıcılar tarafından hızla denenir.
Bu türdeki kayıtların ortanca CVSS puanı 8,8; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 15 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Sunucunuzda wp-content/uploads klasöründe PHP çalıştırmayı kapatmak, bu türün etkisini çoğu durumda sınırlar. Barındırma firmanız bu ayarı panelden sunabilir.
Geliştirici tarafı
wp_check_filetype_and_ext ile içerik ve uzantı birlikte denetlenmeli, yükleme klasöründe betik çalışması sunucu tarafında kapatılmalı.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-434 (203).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 72 kayıt çıktı, ondan önceki üç ayda 30. Kayıtların 6 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| Gravity FormsEklenti | 4 | 18 |
| Photo Gallery, Sliders, Proofing and ThemesEklenti | 3 | 11 |
| Super FormsEklenti | 3 | 7 |
| ProSolution WP ClientEklenti | 3 | 10 |
| Realtyna Organic IDX plugin + WPL Real EstateEklenti | 3 | 4 |
| Blocksy CompanionEklenti | 3 | 6 |
| DepicterEklenti | 2 | 4 |
| ELEX WordPress HelpDesk & Customer Ticketing SystemEklenti | 2 | 13 |
| Ninja FormsEklenti | 2 | 29 |
| Ultra Addons for Contact Form 7Eklenti | 2 | 5 |
En yeni 15 kayıt
- 8,8Yüksek
Photo Gallery, Sliders, Proofing and Themes
31 Ekim 2026 Dosya yükleme Eklenti Abone hesabı 4.4.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 4.4.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
SimpleForm
31 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 3.10.2 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.10.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Project Manager
31 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 4.1.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
Photo Gallery, Sliders, Proofing and Themes
30 Ekim 2026 Dosya yükleme Eklenti Abone hesabı 4.4.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.4.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,1Yüksek
Avada
30 Ekim 2026 Dosya yükleme Tema Giriş gerekmiyor 7.16.2 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 7.16.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Chat AI with Dispatcher
29 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 2.4Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4 öncesindeki sürümler etkileniyor, düzeltme 2.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,8Kritik
Pie Register Premium
28 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 3.8.4.0 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.8.4.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,5Yüksek
affiliate-toolkit
28 Ekim 2026 Dosya yükleme Eklenti Katkıcı hesabı 3.9.2 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.9.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
The Innovative Form Builder
28 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.5.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.5.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Contact Manager
28 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 9.1.3Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 9.1.2 ve önceki sürümler etkileniyor, düzeltme 9.1.3 sürümünde.
- 9,8Kritik
Checkout Files Upload for WooCommerce
28 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 2.4.0Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.0 öncesindeki sürümler etkileniyor, düzeltme 2.4.0 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 5,4Orta
Depicter
23 Ekim 2026 Dosya yükleme Eklenti Abone hesabı Düzeltme 4.8.2Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 4.8.2 öncesindeki sürümler etkileniyor, düzeltme 4.8.2 sürümünde.
- 8,8Yüksek
YaySMTP
16 Ekim 2026 Dosya yükleme Eklenti Abone hesabı 2.7.7 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.7.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
DoubleScale CRM
16 Ekim 2026 Dosya yükleme Eklenti Abone hesabı 1.5.1 ve öncesiKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 1.5.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Mang Board
16 Ekim 2026 Dosya yükleme Eklenti Giriş gerekmiyor Sürüm yazmıyorKısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.