Ocak 2026

Ayın notları

• En yoğun gün 7 Ocak 2026 oldu; o gün 80 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 372, WPScan 18, Patchstack 17, VulnCheck 3. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 37 tanesi (%9) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: PawFriends, Bajaar, Kalium 3, Dreamer Blog, Plant, Phlox. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 9,8Kritik

   Snow Monkey Forms

   28 Ocak 2026 Dizin aşımı Eklenti Giriş gerekmiyor 12.0.3 ve öncesi

   Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 12.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

   CVE-2026-1056 (NVD) Wordfence kaydı
2. 9,8Kritik

   Kalrav AI Agent

   24 Ocak 2026 Dosya yükleme Eklenti Giriş gerekmiyor 2.3.3 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.3.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13374 (NVD) Wordfence kaydı
3. 9,8Kritik

   LA-Studio Element Kit for Elementor

   22 Ocak 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.5.6.3 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.5.6.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-0920 (NVD) Wordfence kaydı
4. 9,8Kritik

   Academy LMS

   21 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 3.5.0 ve öncesi

   Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.5.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-15521 (NVD) Wordfence kaydı
5. 9,8Kritik

   Advanced Custom Fields

   20 Ocak 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 0.9.2.1 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.9.2.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14533 (NVD) Wordfence kaydı
6. 9,8Kritik

   RegistrationMagic

   17 Ocak 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 6.0.7.1 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.0.7.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-15403 (NVD) Wordfence kaydı
7. 9,8Kritik

   Registration & Login with Mobile Phone Number for WooCommerce

   17 Ocak 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.3.1 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-10484 (NVD) Wordfence kaydı
8. 9,8Kritik

   News and Blog Designer Bundle

   14 Ocak 2026 LFI Eklenti Giriş gerekmiyor 1.1 ve öncesi

   Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14502 (NVD) Wordfence kaydı
9. 9,8Kritik

   Integration Opvius AI for WooCommerce

   14 Ocak 2026 Dizin aşımı Eklenti Giriş gerekmiyor 1.3.0 ve öncesi

   Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-14301 (NVD) Wordfence kaydı
10. 9,8Kritik

    Dreamer Blog

    13 Ocak 2026 Diğer Tema Giriş gerekmiyor Kavram kanıtı var 1.2 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-10915 (NVD) WPScan kaydı
11. 9,8Kritik

    ACF Frontend Admin by DynamiApps

    9 Ocak 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 3.28.29 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.28.29 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14736 (NVD) Wordfence kaydı
12. 9,8Kritik

    WP Cost Estimation & Payment Forms Builder

    8 Ocak 2026 Dosya yükleme Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 9.644

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 9.642 ve önceki sürümler etkileniyor, düzeltme 9.644 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2019-25296 (NVD) Wordfence kaydı
13. 9,8Kritik

    Optional Email

    7 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 1.3.11 ve öncesi

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.11 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-15018 (NVD) Wordfence kaydı
14. 9,8Kritik

    FS Registration Password

    6 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 1.0.1 ve öncesi

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-15001 (NVD) Wordfence kaydı
15. 9,8Kritik

    AS Password Field In Default Registration Form

    6 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 2.0.0 ve öncesi

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14996 (NVD) Wordfence kaydı
16. 9,8Kritik

    Branda

    2 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 3.4.24 ve öncesi

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.4.24 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14998 (NVD) Wordfence kaydı
17. 9,3Kritik

    Uploadify

    15 Ocak 2026 Dosya yükleme Eklenti Giriş gerekmiyor Kavram kanıtı var 1.0 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2011-10041 (NVD) VulnCheck kaydı
18. 9,3Kritik

    AccessAlly

    9 Ocak 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 3.3.2

    Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.2 öncesindeki sürümler etkileniyor, düzeltme 3.3.2 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2020-36875 (NVD) VulnCheck kaydı
19. 9,1Kritik

    E-xact

    13 Ocak 2026 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var 2.0 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14829 (NVD) WPScan kaydı
20. 9,1Kritik

    ACF Frontend Admin by DynamiApps

    9 Ocak 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 3.28.25 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.28.25 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14741 (NVD) Wordfence kaydı
21. 9,9Kritik

    Themify Sidepane

    6 Ocak 2026 Dosya yükleme Tema Abone hesabı 1.9.8 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 1.9.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-30996 (NVD) Patchstack kaydı
22. 8,6Yüksek

    Money Space

    7 Ocak 2026 Bilgi sızıntısı Eklenti Giriş gerekmiyor 2.13.9 ve öncesi

    Bilgi sızıntısı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.13.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13371 (NVD) Wordfence kaydı
23. 8,6Yüksek

    Team

    5 Ocak 2026 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 5.0.11

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.0.11 öncesindeki sürümler etkileniyor, düzeltme 5.0.11 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14124 (NVD) WPScan kaydı
24. 8,3Yüksek

    koko-analytics

    19 Ocak 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış.

    CVE-2026-22850 (NVD)
25. 8,2Yüksek

    Membership Plugin

    16 Ocak 2026 IDOR Eklenti Giriş gerekmiyor 3.2.16 ve öncesi

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.2.16 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14844 (NVD) Wordfence kaydı
26. 8,2Yüksek

    iPaymu Payment Gateway for WooCommerce

    7 Ocak 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 2.0.2 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-0656 (NVD) Wordfence kaydı
27. 8,1Yüksek

    Custom Login Page Customizer

    29 Ocak 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 2.5.4

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.5.4 öncesindeki sürümler etkileniyor, düzeltme 2.5.4 sürümünde.

    CVE-2025-14975 (NVD) WPScan kaydı
28. 8,1Yüksek

    Bajaar

    22 Ocak 2026 LFI Tema Giriş gerekmiyor 2.1.0 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-69004 (NVD) Patchstack kaydı
29. 8,1Yüksek

    Nexter Extension

    20 Ocak 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 4.4.6 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 4.4.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-0726 (NVD) Wordfence kaydı
30. 7,5Yüksek

    Frontend File Manager

    28 Ocak 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 23.5 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 23.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1280 (NVD) Wordfence kaydı