Yetki yükseltme
Son 12 ayda yayımlanan WordPress kayıtlarının 239 tanesi (%3) bu türden. Bunların 117 tanesi giriş yapmadan kullanılabiliyor.
- Kritik 70
- Yüksek 152
- Orta 15
- Düşük 2
Ne demek
Düşük yetkili bir kullanıcının (ya da hiç hesabı olmayan birinin) kendini yönetici yapabildiği açıklar. Genellikle kayıt formunun rol alanını denetlememesinden ya da kullanıcı meta verisini doğrudan güncelleyen bir uç noktadan doğar.
Ne kadar tehlikeli
Yönetici yetkisi, sitenin tamamı demektir: eklenti yükleme, dosya düzenleme, kullanıcıları silme. Bu yüzden bu türün büyük bölümü yüksek ya da kritik puan alır.
Bu türdeki kayıtların ortanca CVSS puanı 8,8; tüm WordPress kayıtlarında ortanca 6,4. CISA değerlendirmesine göre 13 kayıt için kavram kanıtı yayımlanmış ya da gerçek saldırı bildirilmiş.
Site sahibi ne yapabilir
Güncelledikten sonra Kullanıcılar sayfasını “Yönetici” rolüne göre süzün ve tanımadığınız bir hesap olup olmadığına bakın.
Geliştirici tarafı
Kayıt ve profil güncelleme akışlarında rol, yetenek ve kullanıcı meta anahtarları izinli listeyle sınırlanmalı.
Bu gruba giren CWE numaraları ve kayıt sayıları: CWE-269 (233), CWE-266 (6).
Saldırgan kim olmalı
CVSS vektöründeki “gereken yetki” alanına ve kayıt metnindeki rol bilgisine göre. Rol ne kadar düşükse, saldırgan için o kadar kolay demektir.
Aylara göre
Son üç tam ayda 115 kayıt çıktı, ondan önceki üç ayda 28. Kayıtların 6 tanesi tema, gerisi büyük ölçüde eklenti kaydı.
Bu türde en çok kaydı olan ürünler
| Ürün | Bu türde | Toplam |
|---|---|---|
| Import and export users and customersEklenti | 6 | 10 |
| User Profile BuilderEklenti | 5 | 20 |
| Appointment Booking PluginEklenti | 5 | 34 |
| User Registration & MembershipEklenti | 5 | 28 |
| Advanced Custom FieldsEklenti | 4 | 14 |
| ACF Frontend Admin by DynamiAppsEklenti | 4 | 19 |
| Wishlist MemberEklenti | 4 | 5 |
| Essential Addons for ElementorEklenti | 3 | 18 |
| GroundhoggEklenti | 3 | 14 |
| Forminator FormsEklenti | 3 | 31 |
En yeni 15 kayıt
- 8,8Yüksek
User Frontend
31 Ekim 2026 Yetki yükseltme Eklenti Abone hesabı 4.3.13 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 4.3.13 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,5Yüksek
Mail logging & Catcher
31 Ekim 2026 Yetki yükseltme Eklenti Abone hesabı 2.2.0 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
Rox Appointment Booking
31 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.3.1 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,4Yüksek
Essential Addons for Elementor
30 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 6.8.7 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 6.8.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
Ak Framework
30 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 2.9.8 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.9.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 9,8Kritik
LogixFast Auth
29 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 1.0.4Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.4 öncesindeki sürümler etkileniyor, düzeltme 1.0.4 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 6,3Orta
BeyondSEO
28 Ekim 2026 Yetki yükseltme Eklenti Katkıcı hesabı 1.3.6 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 1.3.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
GoSMTP
28 Ekim 2026 Yetki yükseltme Eklenti Yönetici hesabı Düzeltme 1.2.5Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 1.2.5 öncesindeki sürümler etkileniyor, düzeltme 1.2.5 sürümünde.
- 7,2Yüksek
Event Booking Manager for WooCommerce
28 Ekim 2026 Yetki yükseltme Eklenti Editör hesabı 5.7.8 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: editör ya da mağaza yöneticisi düzeyinde hesabı olan biri. 5.7.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 7,2Yüksek
Duplicator
25 Ekim 2026 Yetki yükseltme Eklenti Yönetici hesabı Düzeltme 5.0.0Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 5.0.0 öncesindeki sürümler etkileniyor, düzeltme 5.0.0 sürümünde.
- 9,8Kritik
Datawiza Proxy Auth
25 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 1.1.1Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.1 öncesindeki sürümler etkileniyor, düzeltme 1.1.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.
- 7,1Yüksek
User Profile Builder
24 Ekim 2026 Yetki yükseltme Eklenti Yazar hesabı 4.0.3 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: yazar ya da daha yetkili bir hesabı olan biri. 4.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,8Yüksek
aBlocks
24 Ekim 2026 Yetki yükseltme Eklenti Katkıcı hesabı 2.17.0 ve öncesiYetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: katkıcı (yazı taslağı yazabilen) ya da daha yetkili bir hesabı olan biri. 2.17.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.
- 8,1Yüksek
Advanced Custom Fields
23 Ekim 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 0.9.2.8Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 0.9.2.8 öncesindeki sürümler etkileniyor, düzeltme 0.9.2.8 sürümünde.
- 7,2Yüksek
User Profile Builder
23 Ekim 2026 Yetki yükseltme Eklenti Yönetici hesabı Düzeltme 4.0.5Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: yalnızca yönetici yetkisi olan biri. 4.0.5 öncesindeki sürümler etkileniyor, düzeltme 4.0.5 sürümünde.