SQL enjeksiyonu
Son 12 ayda yayımlanan WordPress kayıtlarının 513 tanesi (%7) bu türden. Bunların 234 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 19
- Yüksek 227
- Orta 265
- Düşük 2
Ne demek
Eklenti, kullanıcıdan aldığı bir değeri doğrudan veritabanı sorgusunun içine ekliyor. Saldırgan bu değere kendi SQL parçasını yazarak sorguyu değiştirir.
Ne kadar tehlikeli
Çoğu kayıtta saldırganın veritabanından bilgi okuyabildiği yazar: kullanıcı e-postaları, parola karma değerleri, sipariş kayıtları. Giriş gerektirmeyen SQL enjeksiyonları bu yüzden çoğunlukla yüksek ya da kritik puan alır.
Bu türdeki kayıtların ortanca CVSS puanı 6,8; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 58 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Giriş gerektirmeyen bir SQL enjeksiyonu kaydı gördüyseniz güncellemeyi ertelemeyin. Güncelleme yoksa eklentiyi devre dışı bırakmak, sitenin geri kalanını bu sorgudan korur.
Geliştirici tarafı
Sorgularda $wpdb->prepare kullanılmalı. Bu kayıtların önemli bir kısmı “orderby” ve “order” gibi sıralama parametrelerinden geliyor; bu alanlar prepare ile korunamadığı için izinli değerler listesiyle karşılaştırılmalı.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-89 (513).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 219 kayıt çıktı, ondan önceki üç ayda 101. Kayıtların 3 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| WP Directory KitEklenti | 13 | 23 |
| Form Maker by 10WebEklenti | 8 | 14 |
| Tutor LMSEklenti | 6 | 42 |
| GroundhoggEklenti | 6 | 14 |
| JoomSportEklenti | 5 | 7 |
| Mail MintEklenti | 5 | 9 |
| rtMedia for WordPress, BuddyPress and bbPressEklenti | 5 | 12 |
| wpForo ForumEklenti | 5 | 19 |
| Quiz and Survey Master (QSM)Eklenti | 5 | 18 |
| TaskbuilderEklenti | 5 | 8 |
En yeni 15 kayıt
- 6,5Orta
Web 2.0 Directory plugin for WordPress
31 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 2.10.12 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.10.12 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
FunnelKit Automations
31 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 3.8.5.2 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.8.5.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
WP Directory Kit
31 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 1.6.0 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.6.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 5,3Orta
Newsletters
31 Ekim 2026 SQL enjeksiyonu Eklenti Abone hesabı 4.18.1 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.18.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
WP2LEADS
31 Ekim 2026 SQL enjeksiyonu Eklenti Abone hesabı 3.5.6 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 3.5.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
JoomSport
30 Ekim 2026 SQL enjeksiyonu Eklenti Katkıcı hesabı 5.7.14 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 5.7.14 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 4,1Orta
WP Visitor Statistics (Real Time Traffic)
30 Ekim 2026 SQL enjeksiyonu Eklenti Yönetici hesabı Düzeltme 8.8SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 8.8 öncesindeki sürümler etkileniyor, düzeltme 8.8 sürümünde.
- 6,5Orta
Majestic Support
30 Ekim 2026 SQL enjeksiyonu Eklenti Abone hesabı 1.2.2 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 1.2.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
Social Web Suite
29 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 4.1.12 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.1.12 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,5Yüksek
SendPress Newsletters
29 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 1.26.1.20 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.26.1.20 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 8,6Yüksek
vTables
29 Ekim 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 0.3SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.3 öncesindeki sürümler etkileniyor, düzeltme 0.3 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 6,5Orta
JoomSport
29 Ekim 2026 SQL enjeksiyonu Eklenti Katkıcı hesabı 5.7.11 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 5.7.11 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
Newsmatic
29 Ekim 2026 SQL enjeksiyonu Tema Giriş gerekmiyor 1.5.0 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.5.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 6,5Orta
WP Inventory Manager
28 Ekim 2026 SQL enjeksiyonu Eklenti Katkıcı hesabı 2.5.5 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 2.5.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 6,5Orta
VikRentCar Car Rental Management System
28 Ekim 2026 SQL enjeksiyonu Eklenti Katkıcı hesabı 1.4.10 ve öncesiSQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 1.4.10 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.