PHP nesne enjeksiyonu
Son 12 ayda yayımlanan WordPress kayıtlarının 91 tanesi (%1) bu türden. Bunların 40 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 19
- Yüksek 56
- Orta 15
- Düşük 1
Ne demek
Eklenti, kullanıcıdan gelen veriyi unserialize ile PHP nesnesine çeviriyor. Saldırgan özel hazırlanmış bir dizeyle sitede yüklü başka bir eklentideki sınıfları tetikleyebilir.
Ne kadar tehlikeli
Kayıtların çoğunda “eklentinin kendisinde bilinen bir POP zinciri yok” yazar; yani zararın büyüklüğü sitede yüklü diğer eklenti ve temalara bağlıdır. Zincir bulunursa sonuç dosya silme ya da kod çalıştırma olabilir.
Bu türdeki kayıtların ortanca CVSS puanı 8,1; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 5 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Bu türde risk sitenize özeldir, çünkü sonucu hangi eklentilerin birlikte yüklü olduğu belirler. Kullanmadığınız eklentileri silmek, olası zincirleri azaltır.
Geliştirici tarafı
Kullanıcı verisi için unserialize yerine json_decode kullanılmalı; zorunluysa allowed_classes => false verilmeli.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-502 (91).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 36 kayıt çıktı, ondan önceki üç ayda 13. Kayıtların 6 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| KirkiEklenti | 3 | 36 |
| User FrontendEklenti | 3 | 19 |
| Online Scheduling and Appointment Booking SystemEklenti | 2 | 16 |
| Uncanny AutomatorEklenti | 2 | 5 |
| wpForo ForumEklenti | 2 | 19 |
| Ninja FormsEklenti | 2 | 29 |
| Live ComposerEklenti | 2 | 8 |
| NewslettersEklenti | 2 | 12 |
| Everest FormsEklenti | 2 | 11 |
| PDF Invoice for WooCommerce + Drag and Drop Template BuilderEklenti | 1 | 1 |
En yeni 15 kayıt
- 9,8Kritik
PDF Invoice for WooCommerce + Drag and Drop Template Builder
31 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 7.1.1 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 7.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
Enable Media Replace
30 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 4.2.3PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.2.3 öncesindeki sürümler etkileniyor, düzeltme 4.2.3 sürümünde.
- 9,8Kritik
Gravity Forms
30 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 3.1.2 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,8Kritik
GEO my WP
29 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 4.5.5.4PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.5.5.3 ve önceki sürümler etkileniyor, düzeltme 4.5.5.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 9,0Kritik
Frontend Dashboard
29 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 3.0.5PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.0.5 öncesindeki sürümler etkileniyor, düzeltme 3.0.5 sürümünde.
- 8,8Yüksek
Rank Math SEO
28 Ekim 2026 Nesne enjeksiyonu Eklenti Katkıcı hesabı 1.0.276 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 1.0.276 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
Filter Everything — WordPress & WooCommerce Filters
28 Ekim 2026 Nesne enjeksiyonu Eklenti Yönetici hesabı 1.9.7 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 1.9.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
Kirki
27 Ekim 2026 Nesne enjeksiyonu Eklenti Abone hesabı 6.2.5 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.2.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
Prime Mover
24 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 2.2.1 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.2.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 8,8Yüksek
Duplicator
21 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 1.5.17 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.5.17 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
WordPress Team Members
21 Ekim 2026 Nesne enjeksiyonu Eklenti Abone hesabı Düzeltme 2.8.3PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.8.2 ve önceki sürümler etkileniyor, düzeltme 2.8.3 sürümünde.
- 6,6Orta
ACF Frontend Admin by DynamiApps
17 Ekim 2026 Nesne enjeksiyonu Eklenti Yönetici hesabı 3.29.13 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.29.13 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
LearnPress
17 Ekim 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 4.4.10 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.4.10 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,2Yüksek
Kirki
17 Ekim 2026 Nesne enjeksiyonu Eklenti Yönetici hesabı 6.3.2 ve öncesiPHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 6.3.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,0Yüksek
Search Regex
16 Ekim 2026 Nesne enjeksiyonu Eklenti Abone hesabı Düzeltme 3.5.1PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.5 ve önceki sürümler etkileniyor, düzeltme 3.5.1 sürümünde.