Kod ve komut enjeksiyonu
Son 12 ayda yayımlanan WordPress kayıtlarının 170 tanesi (%2) bu türden. Bunların 100 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 37
- Yüksek 63
- Orta 69
- Düşük 1
Ne demek
Eklenti, kullanıcıdan gelen bir değeri PHP kodu, şablon ifadesi ya da işletim sistemi komutu olarak çalıştırıyor. Kısa kodların içinden keyfi işlev çağırmaya izin veren hatalar da bu gruptadır.
Ne kadar tehlikeli
Sunucuda kod çalıştırmak, site üzerinde tam denetim demektir. Giriş gerektirmeyen türleri çoğunlukla 9 ve üzeri puan alır.
Bu türdeki kayıtların ortanca CVSS puanı 7,2; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 8 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Bu türden bir kayıt için güncelleme yoksa eklentiyi kaldırın; devre dışı bırakmak çoğu durumda yeterlidir ama dosyalar sunucuda kaldıkça doğrudan çağrılma ihtimali sürer.
Geliştirici tarafı
call_user_func, eval, create_function ve include gibi çağrılara kullanıcı girdisi hiçbir koşulda ulaşmamalı.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-94 (120), CWE-74 (38), CWE-77 (5), CWE-78 (3), CWE-95 (2).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 77 kayıt çıktı, ondan önceki üç ayda 14. Kayıtların 2 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| ProfilePressEklenti | 7 | 15 |
| Forminator FormsEklenti | 5 | 31 |
| Ninja FormsEklenti | 4 | 29 |
| Advanced Custom FieldsEklenti | 4 | 14 |
| WP Ultimate ReviewEklenti | 4 | 8 |
| Avada (Fusion) BuilderEklenti | 3 | 12 |
| KirkiEklenti | 3 | 36 |
| Formidable FormsEklenti | 2 | 8 |
| GeoDirectoryEklenti | 2 | 28 |
| Ad InserterEklenti | 2 | 10 |
En yeni 15 kayıt
- 5,4Orta
Ninja Forms
31 Ekim 2026 Kod enjeksiyonu Eklenti Abone hesabı 3.15.5 ve öncesiKod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 3.15.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Ninja Forms
31 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 3.15.6Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.15.5 ve önceki sürümler etkileniyor, düzeltme 3.15.6 sürümünde.
- 8,8Yüksek
Formidable Forms
30 Ekim 2026 Kod enjeksiyonu Eklenti Abone hesabı Düzeltme 7.0Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.35 ve önceki sürümler etkileniyor, düzeltme 7.0 sürümünde.
- 6,5Orta
My Calendar
30 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 3.8.11Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.8.11 öncesindeki sürümler etkileniyor, düzeltme 3.8.11 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 6,5Orta
GeoDirectory
30 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 2.8.198 ve öncesiKod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.8.198 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 6,5Orta
Ad Inserter
30 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 2.8.19 ve öncesiKod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.8.19 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,2Yüksek
Contact Form by Supsystic
29 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 1.11.1Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.11.1 öncesindeki sürümler etkileniyor, düzeltme 1.11.1 sürümünde.
- 4,9Orta
Smart Popup by Supsystic
28 Ekim 2026 Kod enjeksiyonu Eklenti Yönetici hesabı Düzeltme 2.0.2Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 2.0.2 öncesindeki sürümler etkileniyor, düzeltme 2.0.2 sürümünde.
- 5,3Orta
Royal Elementor Addons
28 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 1.7.1070Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.7.1070 öncesindeki sürümler etkileniyor, düzeltme 1.7.1070 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,2Yüksek
GeoDirectory
24 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.8.194Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.8.194 öncesindeki sürümler etkileniyor, düzeltme 2.8.194 sürümünde.
- 9,0Kritik
Advanced Custom Fields
23 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 0.9.2.8Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 0.9.2.8 öncesindeki sürümler etkileniyor, düzeltme 0.9.2.8 sürümünde.
- 4,8Orta
Advanced Custom Fields
23 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 0.9.2.8Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 0.9.2.8 öncesindeki sürümler etkileniyor, düzeltme 0.9.2.8 sürümünde.
- 4,8Orta
WP Ultimate Review
22 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.4.5Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.4.5 öncesindeki sürümler etkileniyor, düzeltme 2.4.5 sürümünde.
- 8,1Yüksek
User Registration & Membership
17 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 5.2.8 ve öncesiKod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.2.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
Broken Link Checker
16 Ekim 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 2.4.14.1 ve öncesiKod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.14.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.