Eksik yetki kontrolü
Son 12 ayda yayımlanan WordPress kayıtlarının 1.367 tanesi (%20) bu türden. Bunların 646 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 58
- Yüksek 198
- Orta 1.040
- Düşük 71
Ne demek
Eklentinin bir işlevi (çoğunlukla bir AJAX ya da REST uç noktası) “bu isteği yapan kişi bu işi yapmaya yetkili mi?” sorusunu sormadan çalışıyor. Sonuçta sıradan bir üye ya da hiç giriş yapmamış biri, normalde yalnız yöneticinin yapabileceği bir ayarı değiştirebiliyor ya da bir kaydı silebiliyor.
Ne kadar tehlikeli
Etkisi, korumasız kalan işlevin ne yaptığına bağlıdır. Bir ayarı değiştirmek ya da bir bildirimi kapatmak gibi sınırlı işler düşük-orta puan alır. Korumasız işlev seçenek (option) güncelleyebiliyor ya da dosya yazabiliyorsa, durum yönetici hesabı ele geçirmeye kadar gidebilir.
Bu türdeki kayıtların ortanca CVSS puanı 5,3; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 101 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Sitenizde herkese açık üyelik varsa (Ayarlar › Genel sayfasındaki üyelik seçeneği), abone düzeyindeki açıklar sizin için doğrudan erişilebilir demektir. İhtiyacınız yoksa üyeliği kapatmak bu türün önemli bir kısmının önünü keser.
Geliştirici tarafı
current_user_can ile yetki, check_ajax_referer ya da wp_verify_nonce ile istek doğrulaması birlikte yapılmalı. REST rotalarında permission_callback alanını __return_true bırakmak bu türün en sık görülen kaynağıdır.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-862 (1128), CWE-284 (121), CWE-863 (89), CWE-285 (29).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 504 kayıt çıktı, ondan önceki üç ayda 188. Kayıtların 18 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| EventinEklenti | 14 | 28 |
| LearnPressEklenti | 12 | 37 |
| Tutor LMSEklenti | 10 | 42 |
| TrueBookerEklenti | 9 | 16 |
| ProfileGridEklenti | 9 | 16 |
| Blog2SocialEklenti | 8 | 13 |
| MasterStudy LMS WordPress PluginEklenti | 7 | 25 |
| Simply Schedule AppointmentsEklenti | 7 | 18 |
| Booking for Appointments and Events CalendarEklenti | 7 | 22 |
| WPLP Cookie ConsentEklenti | 7 | 16 |
En yeni 15 kayıt
- 6,5Orta
Spectra Legacy
31 Ekim 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 2.20.4 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.20.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,1Kritik
Popup Builder
31 Ekim 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 4.4.5 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.4.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,1Kritik
WP Booking System
31 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı 2.1.0.5 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.1.0.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,3Orta
Product Filter for WooCommerce by WBW
31 Ekim 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 3.4.6 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.4.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,9Orta
WP Data Access
31 Ekim 2026 Yetki kontrolü Eklenti Giriş gerekmiyor Düzeltme 5.5.89Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.5.88 ve önceki sürümler etkileniyor, düzeltme 5.5.89 sürümünde.
- 4,3Orta
Hustle
31 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı 7.8.14.3 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 7.8.14.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Redux Framework
31 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı 4.5.15 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 4.5.15 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 4,3Orta
Perfect Images
31 Ekim 2026 Yetki kontrolü Eklenti Yazar hesabı 7.2.0 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: yazar ya da daha yetkili bir hesabı olan biri. 7.2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Meow Gallery
30 Ekim 2026 Yetki kontrolü Eklenti Yazar hesabı 5.5.4 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: yazar ya da daha yetkili bir hesabı olan biri. 5.5.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 4,3Orta
Content Egg
30 Ekim 2026 Yetki kontrolü Eklenti Yazar hesabı 12.0.0 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: yazar ya da daha yetkili bir hesabı olan biri. 12.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 4,3Orta
Content Egg
30 Ekim 2026 Yetki kontrolü Eklenti Katkıcı hesabı 12.0.0 ve öncesiEksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 12.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,3Orta
BuddyForms
30 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı Düzeltme 2.10.1Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.10.1 öncesindeki sürümler etkileniyor, düzeltme 2.10.1 sürümünde.
- 5,4Orta
Fraud Prevention For WooCommerce and EDD
30 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı Düzeltme 2.3.6Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.3.6 öncesindeki sürümler etkileniyor, düzeltme 2.3.6 sürümünde.
- 7,6Yüksek
Kirki
30 Ekim 2026 Yetki kontrolü Eklenti Abone hesabı Düzeltme 6.4.1Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.4.1 öncesindeki sürümler etkileniyor, düzeltme 6.4.1 sürümünde.
- 7,5Yüksek
AI Engine
30 Ekim 2026 Yetki kontrolü Eklenti Giriş gerekmiyor Düzeltme 3.8.7Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.8.6 ve önceki sürümler etkileniyor, düzeltme 3.8.7 sürümünde.