Mart 2026

Ayın notları

• En yoğun gün 21 Mart 2026 oldu; o gün 99 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 303, WPScan 22, Patchstack 18, Diğer 1. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 28 tanesi (%8) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Restaurant Cafeteria, Oxygen, ColorFolio, Astra, Healer, TopFit. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 9,8Kritik

   Everest Forms

   31 Mart 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 1.9.12 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.9.12 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-3300 (NVD) Wordfence kaydı
2. 9,8Kritik

   Contact Form by Supsystic

   30 Mart 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 1.7.36 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.7.36 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-4257 (NVD) Wordfence kaydı
3. 9,8Kritik

   Woocommerce Custom Product Addons Pro

   24 Mart 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 5.4.1 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.4.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-4001 (NVD) Wordfence kaydı
4. 9,8Kritik

   Aimogen Pro

   20 Mart 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 2.7.5 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.7.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-4038 (NVD) Wordfence kaydı
5. 9,8Kritik

   Kali Forms

   20 Mart 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 2.4.9 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-3584 (NVD) Wordfence kaydı
6. 9,8Kritik

   Pix for WooCommerce

   13 Mart 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.5.0 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.5.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-3891 (NVD) Wordfence kaydı
7. 9,8Kritik

   Datalogics Ecommerce Delivery

   11 Mart 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 2.6.60

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.6.60 öncesindeki sürümler etkileniyor, düzeltme 2.6.60 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-2631 (NVD) WPScan kaydı
8. 9,8Kritik

   Tutor LMS Pro

   10 Mart 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 3.9.5 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.9.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-0953 (NVD) Wordfence kaydı
9. 9,8Kritik

   PowerPack for LearnDash

   6 Mart 2026 Yetki kontrolü Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 1.3.0

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.0 öncesindeki sürümler etkileniyor, düzeltme 1.3.0 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-2446 (NVD) WPScan kaydı
10. 9,8Kritik

    Healer

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.0.0 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-28043 (NVD) Patchstack kaydı
11. 9,8Kritik

    Database for Contact Form 7, WPforms, Elementor forms

    5 Mart 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 1.4.7 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.4.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2599 (NVD) Wordfence kaydı
12. 9,8Kritik

    All-in-One Microsoft 365 & Entra ID / Azure AD SSO Login

    3 Mart 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 2.2.5 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.2.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2628 (NVD) Wordfence kaydı
13. 9,8Kritik

    User Registration & Membership

    3 Mart 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 5.1.2 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-1492 (NVD) Wordfence kaydı
14. 9,1Kritik

    WP DSGVO Tools (GDPR)

    24 Mart 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 3.1.38 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.38 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-4283 (NVD) Wordfence kaydı
15. 9,1Kritik

    Login with Salesforce

    5 Mart 2026 Diğer Eklenti Giriş gerekmiyor Kavram kanıtı var 1.0.2 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2418 (NVD) WPScan kaydı
16. 9,9Kritik

    Builderall for WordPress

    5 Mart 2026 Kod enjeksiyonu Eklenti Abone hesabı 3.0.1 ve öncesi

    Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 3.0.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-22390 (NVD) Patchstack kaydı
17. 8,8Yüksek

    Debugger & Troubleshooter

    30 Mart 2026 Diğer Eklenti Giriş gerekmiyor Düzeltme 1.4.0

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.2 ve önceki sürümler etkileniyor, düzeltme 1.4.0 sürümünde.

    CVE-2026-5130 (NVD) Wordfence kaydı
18. 8,2Yüksek

    KiviCare

    18 Mart 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 4.1.2 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2992 (NVD) Wordfence kaydı
19. 8,1Yüksek

    Salon Booking System Pro

    25 Mart 2026 Yetki yükseltme Eklenti Giriş gerekmiyor Düzeltme 10.30.12

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 10.30.12 ve önceki sürümler etkileniyor, düzeltme 10.30.12 sürümünde.

    CVE-2026-25334 (NVD) Patchstack kaydı
20. 8,1Yüksek

    Contest Gallery

    24 Mart 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 28.1.5 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 28.1.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-4021 (NVD) Wordfence kaydı
21. 8,1Yüksek

    Import and export users and customers

    21 Mart 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.29.7 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.29.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-3629 (NVD) Wordfence kaydı
22. 8,1Yüksek

    ColorFolio

    19 Mart 2026 Nesne enjeksiyonu Tema Giriş gerekmiyor 1.3 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27096 (NVD) Patchstack kaydı
23. 8,1Yüksek

    divi-booster

    11 Mart 2026 CSRF Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 5.0.2

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.0.2 öncesindeki sürümler etkileniyor, düzeltme 5.0.2 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış.

    CVE-2026-2626 (NVD) WPScan kaydı
24. 8,1Yüksek

    Drag and Drop Multiple File Upload for Contact Form 7

    5 Mart 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.3.9.5 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.3.9.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-3459 (NVD) Wordfence kaydı
25. 8,1Yüksek

    TopFit

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.9 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27342 (NVD) Patchstack kaydı
26. 8,1Yüksek

    TopScorer

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.2 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27341 (NVD) Patchstack kaydı
27. 8,1Yüksek

    Apollo

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.3.1 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27340 (NVD) Patchstack kaydı
28. 8,1Yüksek

    Buzz Stone

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.0.2 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.0.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27339 (NVD) Patchstack kaydı
29. 8,1Yüksek

    Chronicle

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.0 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27337 (NVD) Patchstack kaydı
30. 8,1Yüksek

    Consultor

    5 Mart 2026 LFI Tema Giriş gerekmiyor 1.2.4 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.2.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-27336 (NVD) Patchstack kaydı