Şubat 2026

Ayın notları

• En yoğun gün 19 Şubat 2026 oldu; o gün 78 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 345, WPScan 14, Patchstack 11, VulnCheck 8. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 31 tanesi (%8) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Automotive Car Dealership Business, Listee, PawFriends, Cartify, SOHO, Oyster. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 10,0Kritik

   ElementsKit Elementor Addons

   23 Şubat 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor Düzeltme 3.7.9

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.7.9 öncesindeki sürümler etkileniyor, düzeltme 3.7.9 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-23693 (NVD)
2. 9,8Kritik

   Listee

   27 Şubat 2026 Yetki yükseltme Tema Giriş gerekmiyor 1.1.6 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-12981 (NVD) Wordfence kaydı
3. 9,8Kritik

   s2Member

   19 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 260127 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 260127 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-1994 (NVD) Wordfence kaydı
4. 9,8Kritik

   Slider Future

   19 Şubat 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.0.5 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-1405 (NVD) Wordfence kaydı
5. 9,8Kritik

   Prodigy Commerce

   19 Şubat 2026 LFI Eklenti Giriş gerekmiyor 3.3.0 ve öncesi

   Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-0926 (NVD) Wordfence kaydı
6. 9,8Kritik

   Buyent

   19 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.0.7 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13851 (NVD) Wordfence kaydı
7. 9,8Kritik

   Lizza LMS Pro

   19 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.0.3 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-13563 (NVD) Wordfence kaydı
8. 9,8Kritik

   Clasifico Listing

   19 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 2.0 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-12882 (NVD) Wordfence kaydı
9. 9,8Kritik

   CleanTalk Anti-Spam

   15 Şubat 2026 Diğer Eklenti Giriş gerekmiyor 6.71 ve öncesi

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.71 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-1490 (NVD) Wordfence kaydı
10. 9,8Kritik

    midi-Synth

    14 Şubat 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.1.0 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1306 (NVD) Wordfence kaydı
11. 9,8Kritik

    Truelysell Core

    14 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.8.7 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.8.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-8572 (NVD) Wordfence kaydı
12. 9,8Kritik

    AdForest

    12 Şubat 2026 Kimlik doğrulama Tema Giriş gerekmiyor 6.0.12 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.0.12 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1729 (NVD) Wordfence kaydı
13. 9,8Kritik

    Prime Listing Manager

    12 Şubat 2026 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var 1.1 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-14892 (NVD) WPScan kaydı
14. 9,8Kritik

    WPvivid

    11 Şubat 2026 Dosya yükleme Eklenti Giriş gerekmiyor 0.9.123 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.9.123 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1357 (NVD) Wordfence kaydı
15. 9,8Kritik

    JAY Login & Register

    8 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 2.6.03 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.6.03 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-15027 (NVD) Wordfence kaydı
16. 9,8Kritik

    User Profile Builder

    2 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 3.15.2

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.15.2 öncesindeki sürümler etkileniyor, düzeltme 3.15.2 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-15030 (NVD) WPScan kaydı
17. 8,8Yüksek

    Responsive Lightbox & Gallery

    24 Şubat 2026 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 2.6.1

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 2.6.1 öncesindeki sürümler etkileniyor, düzeltme 2.6.1 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış.

    CVE-2025-15386 (NVD) WPScan kaydı
18. 8,8Yüksek

    NewsBlogger

    19 Şubat 2026 CSRF Tema Giriş gerekmiyor 0.2.5.9 ve öncesi

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 0.2.5.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-12821 (NVD) Wordfence kaydı
19. 8,8Yüksek

    WP Duplicate

    6 Şubat 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.1.8 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-1499 (NVD) Wordfence kaydı
20. 8,6Yüksek

    ShopLentor

    18 Şubat 2026 Diğer Eklenti Giriş gerekmiyor 3.3.2 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1714 (NVD) Wordfence kaydı
21. 8,2Yüksek

    wpForo Forum

    28 Şubat 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.4.15

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.15 öncesindeki sürümler etkileniyor, düzeltme 2.4.15 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-28562 (NVD)
22. 8,2Yüksek

    Popup builder with Gamification, Multi-Step Popups, Page-Level Targeti

    5 Şubat 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.2.1

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.2.0 ve önceki sürümler etkileniyor, düzeltme 2.2.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13192 (NVD) Wordfence kaydı
23. 8,1Yüksek

    User Registration & Membership

    26 Şubat 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 5.1.2 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-1779 (NVD) Wordfence kaydı
24. 8,1Yüksek

    PawFriends

    20 Şubat 2026 LFI Tema Giriş gerekmiyor 1.3 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-22381 (NVD) Patchstack kaydı
25. 8,1Yüksek

    Magic Login Mail or QR Code

    14 Şubat 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 2.05 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 2.05 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-2144 (NVD) Wordfence kaydı
26. 7,7Yüksek

    Zarinpal Gateway

    17 Şubat 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 5.0.16 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.0.16 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-2592 (NVD) Wordfence kaydı
27. 7,5Yüksek

    WP Mail Logging

    28 Şubat 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 1.15.0 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.15.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-2471 (NVD) Wordfence kaydı
28. 7,5Yüksek

    Tutor LMS

    28 Şubat 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 3.9.6 ve öncesi

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.9.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-13673 (NVD) Wordfence kaydı
29. 7,5Yüksek

    Fluent Forms

    27 Şubat 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 6.1.17 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.1.17 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2428 (NVD) Wordfence kaydı
30. 7,5Yüksek

    WP Responsive Images

    26 Şubat 2026 Dizin aşımı Eklenti Giriş gerekmiyor 1.0 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1557 (NVD) Wordfence kaydı