Aralık 2025

Ayın notları

• En yoğun gün 12 Aralık 2025 oldu; o gün 92 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 379, WPScan 26, Patchstack 19. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 52 tanesi (%12) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Pro Bulk Watermark Plugin for WordPress, Kingcabs, Mavix Education, Construction Light. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 10,0Kritik

   WP Directory Kit

   3 Aralık 2025 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var 1.4.4 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.4.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13390 (NVD) Wordfence kaydı
2. 9,8Kritik

   Print Invoice & Delivery Notes for WooCommerce

   24 Aralık 2025 Kod enjeksiyonu Eklenti Giriş gerekmiyor 5.8.0 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.8.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13773 (NVD) Wordfence kaydı
3. 9,8Kritik

   PhastPress

   23 Aralık 2025 Diğer Eklenti Giriş gerekmiyor 3.7 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14388 (NVD) Wordfence kaydı
4. 9,8Kritik

   Flex Store Users

   20 Aralık 2025 Yetki yükseltme Eklenti Giriş gerekmiyor 1.1.0 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13619 (NVD) Wordfence kaydı
5. 9,8Kritik

   File Uploader for WooCommerce

   20 Aralık 2025 Dosya yükleme Eklenti Giriş gerekmiyor 1.0.3 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13329 (NVD) Wordfence kaydı
6. 9,8Kritik

   Fox LMS

   15 Aralık 2025 Diğer Eklenti Giriş gerekmiyor 1.0.5.1 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.5.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14156 (NVD) Wordfence kaydı
7. 9,8Kritik

   JAY Login & Register

   13 Aralık 2025 Diğer Eklenti Giriş gerekmiyor 2.4.01 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.01 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14440 (NVD) Wordfence kaydı
8. 9,8Kritik

   Export WordPress Pages to Static HTML & PDF

   13 Aralık 2025 Bilgi sızıntısı Eklenti Giriş gerekmiyor 4.3.4 ve öncesi

   Bilgi sızıntısı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.3.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-11693 (NVD) Wordfence kaydı
9. 9,8Kritik

   URL Shortener Plugin For WordPress

   13 Aralık 2025 SQL enjeksiyonu Eklenti Giriş gerekmiyor 3.0.7 ve öncesi

   SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.0.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-10738 (NVD) Wordfence kaydı
10. 9,8Kritik

    Multi Uploader for Gravity Forms

    12 Aralık 2025 Dizin aşımı Eklenti Giriş gerekmiyor 1.1.7 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14344 (NVD) Wordfence kaydı
11. 9,8Kritik

    LazyTasks

    12 Aralık 2025 Yetki kontrolü Eklenti Giriş gerekmiyor 1.2.29 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.29 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-12963 (NVD) Wordfence kaydı
12. 9,8Kritik

    WP CarDealer

    11 Aralık 2025 Yetki yükseltme Eklenti Giriş gerekmiyor 1.2.16 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.16 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13764 (NVD) Wordfence kaydı
13. 9,8Kritik

    Elated Membership

    10 Aralık 2025 Diğer Eklenti Giriş gerekmiyor 1.2 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13613 (NVD) Wordfence kaydı
14. 9,8Kritik

    Flex QR Code Generator

    6 Aralık 2025 Dosya yükleme Eklenti Giriş gerekmiyor Kavram kanıtı var 1.2.7 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-12673 (NVD) Wordfence kaydı
15. 9,8Kritik

    CRM Memberships

    5 Aralık 2025 Yetki kontrolü Eklenti Giriş gerekmiyor 2.6 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13313 (NVD) Wordfence kaydı
16. 9,8Kritik

    User Verification by PickPlugins

    5 Aralık 2025 Kimlik doğrulama Eklenti Giriş gerekmiyor 2.0.44 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.44 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-12374 (NVD) Wordfence kaydı
17. 9,8Kritik

    Advanced Custom Fields

    3 Aralık 2025 Kod enjeksiyonu Eklenti Giriş gerekmiyor 0.9.1.1 ve öncesi

    Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.9.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13486 (NVD) Wordfence kaydı
18. 9,8Kritik

    ACF Frontend Admin by DynamiApps

    3 Aralık 2025 Yetki kontrolü Eklenti Giriş gerekmiyor 3.28.20 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.28.20 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13342 (NVD) Wordfence kaydı
19. 9,8Kritik

    DesignThemes LMS

    2 Aralık 2025 Yetki yükseltme Eklenti Giriş gerekmiyor 1.0.4 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-13542 (NVD) Wordfence kaydı
20. 9,6Kritik

    WING WordPress Migrator

    30 Aralık 2025 CSRF Eklenti Giriş gerekmiyor Düzeltme 2.0.0

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.2.0 ve önceki sürümler etkileniyor, düzeltme 2.0.0 sürümünde.

    CVE-2025-52835 (NVD) Patchstack kaydı
21. 9,9Kritik

    WordPress Contact Form 7 PDF, Google Sheet & Database

    18 Aralık 2025 Dosya yükleme Eklenti Abone hesabı Düzeltme 3.1.0

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 3.0.0 ve önceki sürümler etkileniyor, düzeltme 3.1.0 sürümünde.

    CVE-2025-64231 (NVD) Patchstack kaydı
22. 8,8Yüksek

    Video Merchant

    10 Aralık 2025 Dosya yükleme Eklenti Giriş gerekmiyor 5.0.4 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 5.0.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14390 (NVD) Wordfence kaydı
23. 8,8Yüksek

    User Generator and Importer

    5 Aralık 2025 CSRF Eklenti Giriş gerekmiyor 1.2.2 ve öncesi

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.2.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-12879 (NVD) Wordfence kaydı
24. 8,8Yüksek

    Cost Calculator Builder

    2 Aralık 2025 Dizin aşımı Eklenti Giriş gerekmiyor 3.6.3 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 3.6.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-12529 (NVD) Wordfence kaydı
25. 8,6Yüksek

    Plugin Organizer

    29 Aralık 2025 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 10.2.4

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 10.2.4 öncesindeki sürümler etkileniyor, düzeltme 10.2.4 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13417 (NVD) WPScan kaydı
26. 9,6Kritik

    10Web Booster

    6 Aralık 2025 Dizin aşımı Eklenti Abone hesabı 2.32.7 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 2.32.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-13377 (NVD) Wordfence kaydı
27. 8,1Yüksek

    Redirection for Contact Form 7

    21 Aralık 2025 Dosya yükleme Eklenti Giriş gerekmiyor 3.2.7 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.2.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14800 (NVD) Wordfence kaydı
28. 8,1Yüksek

    WPCOM Member

    16 Aralık 2025 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.7.16 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.7.16 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14002 (NVD) Wordfence kaydı
29. 8,1Yüksek

    Extensive VC Addons for WPBakery page builder

    13 Aralık 2025 LFI Eklenti Giriş gerekmiyor 1.9.1 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.9.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14475 (NVD) Wordfence kaydı
30. 8,1Yüksek

    Visitor Logic Lite

    12 Aralık 2025 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 1.0.3 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14044 (NVD) Wordfence kaydı