Veri: 1 Kasım 2026 Son 7 günde 324 yeni kayıt, 19 kritik
Açık türü · 13. sırada

Sunucu taraflı istek sahteciliği (SSRF)

Son 12 ayda yayımlanan WordPress kayıtlarının 110 tanesi (%2) bu türden. Bunların 50 tanesi giriş yapmadan kullanılabiliyor.

Ne demek

Eklenti, kullanıcının verdiği bir adrese sunucu üzerinden istek atıyor (bağlantı önizleme, uzak resim içe aktarma, web kancası testi). Saldırgan bu özelliği iç ağdaki ya da sunucunun kendi üzerindeki adreslere istek göndermek için kullanır.

Ne kadar tehlikeli

Paylaşımlı barındırmada etkisi sınırlıdır; bulut sunucularda ise iç meta veri servislerine ulaşılabildiği için kimlik bilgisi sızıntısına dönüşebilir.

Bu türdeki kayıtların ortanca CVSS puanı 5,8; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 7 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.

Site sahibi ne yapabilir

Sunucunuz bir bulut sağlayıcıdaysa (AWS, Google Cloud, Azure), meta veri servisinin eski sürümünün kapalı olduğunu barındırma ayarlarınızdan kontrol edin.

Geliştirici tarafı

Dış istekler için wp_safe_remote_get kullanılmalı; bu işlev yerel ve özel ağ adreslerine giden istekleri varsayılan olarak engeller.

Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-918 (110).

Saldırgan kim olmalı

CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.

Aylara göre

Son üç tam ayda 39 kayıt çıktı, ondan önceki üç ayda 21. Kayıtların 2 tanesi tema, gerisi büyük ölçüde eklenti kaydı.

Bu türde en çok kaydı olan ürünler

ÜrünBu türdeToplam
WPeMatico RSS Feed FetcherEklenti311
KirkiEklenti236
PowerPress Podcasting plugin by BlubrryEklenti27
WP Import Export LiteEklenti211
Royal Addons for ElementorEklenti226
fediverse-embeds-wordpress-pluginEklenti22
WebmentionEklenti24
Performance MonitorEklenti22
Responsive Lightbox & GalleryEklenti24
AI EngineEklenti222

En yeni 15 kayıt

  1. 5,8Orta

    Customer Engagement System

    28 Ekim 2026 SSRF Eklenti Giriş gerekmiyor Düzeltme 2.0.2

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.2 öncesindeki sürümler etkileniyor, düzeltme 2.0.2 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-115225 (NVD) WPScan kaydı
  2. 5,0Orta

    WP Data Access

    17 Ekim 2026 SSRF Eklenti Abone hesabı Düzeltme 5.5.88

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 5.5.88 öncesindeki sürümler etkileniyor, düzeltme 5.5.88 sürümünde.

    CVE-2026-106470 (NVD) WPScan kaydı
  3. 7,3Yüksek

    PhastPress

    15 Ekim 2026 SSRF Eklenti Giriş gerekmiyor Düzeltme 3.11

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.10 ve önceki sürümler etkileniyor, düzeltme 3.11 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-3712 (NVD) Wordfence kaydı
  4. 4,1Orta

    FV Flowplayer Video Player

    14 Ekim 2026 SSRF Eklenti Katkıcı hesabı Düzeltme 7.5.55.7212

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 7.5.55.7212 öncesindeki sürümler etkileniyor, düzeltme 7.5.55.7212 sürümünde.

    CVE-2026-85345 (NVD) WPScan kaydı
  5. 4,1Orta

    Kirki

    9 Ekim 2026 SSRF Eklenti Editör hesabı Düzeltme 6.3.2

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: editör ya da mağaza yöneticisi düzeyinde hesabı olan biri. 6.3.2 öncesindeki sürümler etkileniyor, düzeltme 6.3.2 sürümünde.

    CVE-2026-84224 (NVD) WPScan kaydı
  6. 4,1Orta

    PowerPress Podcasting plugin by Blubrry

    7 Ekim 2026 SSRF Eklenti Yönetici hesabı Düzeltme 11.17.11

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 11.17.11 öncesindeki sürümler etkileniyor, düzeltme 11.17.11 sürümünde.

    CVE-2026-97354 (NVD) WPScan kaydı
  7. 5,8Orta

    Broken Link Notifier

    30 Eylül 2026 SSRF Eklenti Giriş gerekmiyor Düzeltme 2.0.0.1

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.0.1 öncesindeki sürümler etkileniyor, düzeltme 2.0.0.1 sürümünde.

    CVE-2026-97316 (NVD) WPScan kaydı
  8. 4,1Orta

    WPeMatico RSS Feed Fetcher

    27 Eylül 2026 SSRF Eklenti Katkıcı hesabı Düzeltme 2.8.27

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 2.8.27 öncesindeki sürümler etkileniyor, düzeltme 2.8.27 sürümünde.

    CVE-2026-89003 (NVD) WPScan kaydı
  9. 4,1Orta

    WPeMatico RSS Feed Fetcher

    27 Eylül 2026 SSRF Eklenti Katkıcı hesabı Düzeltme 2.8.27

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 2.8.27 öncesindeki sürümler etkileniyor, düzeltme 2.8.27 sürümünde.

    CVE-2026-89000 (NVD) WPScan kaydı
  10. 5,8Orta

    Testimonials Widget

    26 Eylül 2026 SSRF Eklenti Giriş gerekmiyor 4.0.4 ve öncesi

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.0.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-96533 (NVD) WPScan kaydı
  11. 4,0Orta

    Link Library

    25 Eylül 2026 SSRF Eklenti Giriş gerekmiyor Düzeltme 7.9.6

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 7.9.5 ve önceki sürümler etkileniyor, düzeltme 7.9.6 sürümünde.

    CVE-2026-78397 (NVD) WPScan kaydı
  12. 5,5Orta

    Asset CleanUp

    25 Eylül 2026 SSRF Eklenti Yönetici hesabı 1.4.0.5 ve öncesi

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 1.4.0.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-12037 (NVD) Wordfence kaydı
  13. 5,4Orta

    Kirki

    24 Eylül 2026 SSRF Eklenti Giriş gerekmiyor 6.2.0 ve öncesi

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 6.2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-18335 (NVD) Wordfence kaydı
  14. 5,0Orta

    Directorist

    23 Eylül 2026 SSRF Eklenti Abone hesabı Düzeltme 8.9.5

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 8.9.5 öncesindeki sürümler etkileniyor, düzeltme 8.9.5 sürümünde.

    CVE-2026-84046 (NVD) WPScan kaydı
  15. 4,1Orta

    Import and export users and customers

    20 Eylül 2026 SSRF Eklenti Yönetici hesabı Düzeltme 2.4.5

    Sunucu taraflı istek sahteciliği (SSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 2.4.5 öncesindeki sürümler etkileniyor, düzeltme 2.4.5 sürümünde.

    CVE-2026-16542 (NVD) WPScan kaydı

Diğer açık türleri

Siteler arası betik (XSS)2.222

son 12 ayda kayıt

Eksik yetki kontrolü1.367

son 12 ayda kayıt

SQL enjeksiyonu513

son 12 ayda kayıt

Bilgi sızıntısı368

son 12 ayda kayıt

Başkasının kaydına erişim (IDOR)357

son 12 ayda kayıt

Siteler arası istek sahteciliği (CSRF)326

son 12 ayda kayıt