Açık türü · 5. sırada

Başkasının kaydına erişim (IDOR)

Son 12 ayda yayımlanan WordPress kayıtlarının 357 tanesi (%5) bu türden. Bunların 129 tanesi giriş yapmadan kullanılabiliyor.

Kritik 12
Yüksek 41
Orta 254
Düşük 50

Ne demek

Eklenti, istekte gelen bir kayıt numarasına (sipariş no, form girişi no, kullanıcı no) bakarak işlem yapıyor ama o kaydın isteği yapan kişiye ait olup olmadığını kontrol etmiyor. Numarayı değiştiren kullanıcı başkasının kaydını görür ya da değiştirir.

Ne kadar tehlikeli

Randevu, üyelik, form ve öğrenme yönetim eklentilerinde sık görülür; bu eklentiler ziyaretçilerin adını, e-postasını ve telefonunu tuttuğu için sızan bilgi kişisel veri olabilir.

Bu türdeki kayıtların ortanca CVSS puanı 5,3; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 40 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.

Site sahibi ne yapabilir

Sitenizde ziyaretçi bilgisi toplayan bir eklentide bu tür bir açık varsa güncelledikten sonra kayıtlarda tuhaf erişim olup olmadığına bakın. Kişisel veri sızdığından şüpheleniyorsanız KVKK’nın veri ihlali bildirim kurallarını okuyun.

Geliştirici tarafı

Her kayıt işleminde, kaydın sahibi ile oturumdaki kullanıcı karşılaştırılmalı; tahmin edilebilir sıra numaraları yerine tahmin edilemeyen anahtarlar kullanılmalı.

Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-639 (357).

Saldırgan kim olmalı

CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.

Giriş gerekmiyor129
Abone hesabı139
Katkıcı hesabı32
Yazar hesabı13
Editör hesabı2
Yönetici hesabı42

Aylara göre

Son üç tam ayda 184 kayıt çıktı, ondan önceki üç ayda 47. Kayıtların 3 tanesi tema, gerisi büyük ölçüde eklenti kaydı.

Bu türde en çok kaydı olan ürünler

Ürün	Bu türde	Toplam
Tutor LMSEklenti	10	42
Appointment Booking PluginEklenti	8	34
MasterStudy LMS WordPress PluginEklenti	8	25
Academy LMSEklenti	7	11
DokanEklenti	6	14
Online Scheduling and Appointment Booking SystemEklenti	6	16
Photo Gallery, Sliders, Proofing and ThemesEklenti	5	11
Booking for Appointments and Events CalendarEklenti	5	22
Fluent FormsEklenti	5	23
Appointment BookingEklenti	4	7

En yeni 15 kayıt

7,5Yüksek

Forminator Forms

30 Ekim 2026 IDOR Eklenti Giriş gerekmiyor 1.57.3.1 ve öncesi

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.57.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-97638 (NVD) Wordfence kaydı
7,5Yüksek

Bricks

29 Ekim 2026 IDOR Tema Giriş gerekmiyor Düzeltme 2.4.1

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.1 öncesindeki sürümler etkileniyor, düzeltme 2.4.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-119325 (NVD)
4,9Orta

Photo Engine (Media Organizer & Lightroom)

29 Ekim 2026 IDOR Eklenti Yazar hesabı Düzeltme 6.6.0

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yazar ya da daha yetkili bir hesabı olan biri. 6.5.8 ve önceki sürümler etkileniyor, düzeltme 6.6.0 sürümünde.

CVE-2026-115259 (NVD) WPScan kaydı
4,3Orta

Wallet System for WooCommerce

29 Ekim 2026 IDOR Eklenti Abone hesabı Düzeltme 2.8.2

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.8.2 öncesindeki sürümler etkileniyor, düzeltme 2.8.2 sürümünde.

CVE-2026-108763 (NVD) WPScan kaydı
3,8Düşük

Royal MCP

28 Ekim 2026 IDOR Eklenti Katkıcı hesabı Düzeltme 1.5.10

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 1.5.10 öncesindeki sürümler etkileniyor, düzeltme 1.5.10 sürümünde.

CVE-2026-111961 (NVD) WPScan kaydı
2,7Düşük

WPVR

25 Ekim 2026 IDOR Eklenti Katkıcı hesabı Düzeltme 9.0.3

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 9.0.3 öncesindeki sürümler etkileniyor, düzeltme 9.0.3 sürümünde.

CVE-2026-114742 (NVD) WPScan kaydı
3,8Düşük

WPVR

25 Ekim 2026 IDOR Eklenti Katkıcı hesabı Düzeltme 9.0.3

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 9.0.3 öncesindeki sürümler etkileniyor, düzeltme 9.0.3 sürümünde.

CVE-2026-114741 (NVD) WPScan kaydı
4,3Orta

GeoDirectory

24 Ekim 2026 IDOR Eklenti Abone hesabı Düzeltme 2.8.194

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.8.194 öncesindeki sürümler etkileniyor, düzeltme 2.8.194 sürümünde.

CVE-2026-113489 (NVD) WPScan kaydı
4,9Orta

Photo Engine (Media Organizer & Lightroom)

22 Ekim 2026 IDOR Eklenti Abone hesabı Düzeltme 6.5.8

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.5.8 öncesindeki sürümler etkileniyor, düzeltme 6.5.8 sürümünde.

CVE-2026-111972 (NVD) WPScan kaydı
5,3Orta

FluentCart A New Era of eCommerce

22 Ekim 2026 IDOR Eklenti Giriş gerekmiyor Düzeltme 2.2.0

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.2.0 öncesindeki sürümler etkileniyor, düzeltme 2.2.0 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-100142 (NVD) WPScan kaydı
5,5Orta

Pricing Table

21 Ekim 2026 IDOR Eklenti Yönetici hesabı Düzeltme 4.1.3

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 4.1.3 öncesindeki sürümler etkileniyor, düzeltme 4.1.3 sürümünde.

CVE-2026-111947 (NVD) WPScan kaydı
5,3Orta

Kliken

21 Ekim 2026 IDOR Eklenti Giriş gerekmiyor Düzeltme 1.2.3

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.3 öncesindeki sürümler etkileniyor, düzeltme 1.2.3 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-111596 (NVD) WPScan kaydı
4,9Orta

WPZOOM Portfolio Lite

21 Ekim 2026 IDOR Eklenti Yönetici hesabı Düzeltme 1.4.34

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 1.4.34 öncesindeki sürümler etkileniyor, düzeltme 1.4.34 sürümünde.

CVE-2026-110514 (NVD) WPScan kaydı
5,3Orta

SmartyParcel

21 Ekim 2026 IDOR Eklenti Giriş gerekmiyor Düzeltme 1.23.4

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.23.4 öncesindeki sürümler etkileniyor, düzeltme 1.23.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

CVE-2026-107789 (NVD) WPScan kaydı
2,7Düşük

Appointment Booking

21 Ekim 2026 IDOR Eklenti Yönetici hesabı Düzeltme 5.7.5

Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 5.7.5 öncesindeki sürümler etkileniyor, düzeltme 5.7.5 sürümünde.

CVE-2026-105257 (NVD) WPScan kaydı