Nisan 2026

Ayın notları

• En yoğun gün 8 Nisan 2026 oldu; o gün 58 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 295, WPScan 15, VulnCheck 3, Patchstack 2. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 40 tanesi (%13) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Woostify, Vantage, WebStack, Eleganzo. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 9,8Kritik

   Breeze Cache

   23 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor 2.4.4 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.4.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-3844 (NVD) Wordfence kaydı
2. 9,8Kritik

   Sendmachine for WordPress

   22 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.0.20 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.20 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-6235 (NVD) Wordfence kaydı
3. 9,8Kritik

   Accordion and Accordion Slider

   17 Nisan 2026 Diğer Eklenti Giriş gerekmiyor Sürüm yazmıyor

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-6443 (NVD) Wordfence kaydı
4. 9,8Kritik

   Barcode Scanner (+Mobile App)

   16 Nisan 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.11.0 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.11.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-4880 (NVD) Wordfence kaydı
5. 9,8Kritik

   Riaxe Product Customizer

   16 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 2.1.2 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

   CVE-2026-3596 (NVD) Wordfence kaydı
6. 9,8Kritik

   Visa Acceptance Solutions

   15 Nisan 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 2.1.0 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-3461 (NVD) Wordfence kaydı
7. 9,8Kritik

   WebStack

   15 Nisan 2026 Dosya yükleme Tema Giriş gerekmiyor 1.2024 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2024 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-1555 (NVD) Wordfence kaydı
8. 9,8Kritik

   Smart Slider 3 Pro for WordPress

   9 Nisan 2026 Diğer Eklenti Giriş gerekmiyor Sürüm yazmıyor

   Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-34424 (NVD) VulnCheck kaydı
9. 9,8Kritik

   Quick Playground

   9 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.3.1 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-1830 (NVD) Wordfence kaydı
10. 9,8Kritik

    Users manager

    8 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.1.15 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.15 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-4003 (NVD) Wordfence kaydı
11. 9,8Kritik

    DSGVO Google Web Fonts GDPR

    8 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.1 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-3535 (NVD) Wordfence kaydı
12. 9,8Kritik

    Everest Forms

    8 Nisan 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 3.4.3 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.4.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-3296 (NVD) Wordfence kaydı
13. 9,8Kritik

    ProSolution WP Client

    8 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.9.9 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.9.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2942 (NVD) Wordfence kaydı
14. 9,8Kritik

    Ninja Forms

    7 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 3.3.25

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.26 ve önceki sürümler etkileniyor, düzeltme 3.3.25 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-0740 (NVD) Wordfence kaydı
15. 9,1Kritik

    LearnPress

    14 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 4.3.2.8 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.3.2.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-4365 (NVD) Wordfence kaydı
16. 9,1Kritik

    Order Notification for WooCommerce

    1 Nisan 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor Düzeltme 3.6.3

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.6.3 öncesindeki sürümler etkileniyor, düzeltme 3.6.3 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-15484 (NVD) WPScan kaydı
17. 8,8Yüksek

    my-calendar

    16 Nisan 2026 IDOR Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 3.7.7

    Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.7.7 öncesindeki sürümler etkileniyor, düzeltme 3.7.7 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-40308 (NVD)
18. 8,8Yüksek

    Career Section

    16 Nisan 2026 Dizin aşımı Eklenti Giriş gerekmiyor 1.6 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2025-14868 (NVD) Wordfence kaydı
19. 8,8Yüksek

    Product Feed PRO for WooCommerce by AdTribes

    8 Nisan 2026 CSRF Eklenti Giriş gerekmiyor 13.5.2.1 ve öncesi

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 13.5.2.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-3499 (NVD) Wordfence kaydı
20. 8,6Yüksek

    Product Filter for WooCommerce by WBW

    13 Nisan 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 3.1.3

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.3 öncesindeki sürümler etkileniyor, düzeltme 3.1.3 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-3830 (NVD) WPScan kaydı
21. 8,2Yüksek

    WordPress adivaha Travel

    9 Nisan 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2023-54359 (NVD)
22. 8,1Yüksek

    Drag and Drop File Upload for Contact Form 7

    24 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.1.3 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.1.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-5364 (NVD) Wordfence kaydı
23. 9,1Kritik

    Create DB Tables

    22 Nisan 2026 Yetki kontrolü Eklenti Abone hesabı 1.2.1 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 1.2.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-4119 (NVD) Wordfence kaydı
24. 8,1Yüksek

    Everest Forms

    20 Nisan 2026 Dizin aşımı Eklenti Giriş gerekmiyor 3.4.4 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 3.4.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-5478 (NVD) Wordfence kaydı
25. 8,1Yüksek

    Drag and Drop Multiple File Upload for Contact Form 7

    17 Nisan 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 1.3.9.7

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 1.3.9.7 ve önceki sürümler etkileniyor, düzeltme 1.3.9.7 sürümünde.

    CVE-2026-5718 (NVD) Wordfence kaydı
26. 8,1Yüksek

    MW WP Form

    8 Nisan 2026 Dizin aşımı Eklenti Giriş gerekmiyor 5.1.1 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.1.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-5436 (NVD) Wordfence kaydı
27. 8,1Yüksek

    MW WP Form

    2 Nisan 2026 Dizin aşımı Eklenti Giriş gerekmiyor 5.1.0 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Puanlamada saldırı koşulları “zor” olarak işaretlenmiş. 5.1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-4347 (NVD) Wordfence kaydı
28. 7,5Yüksek

    Otter Blocks

    30 Nisan 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 3.1.4 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2892 (NVD) Wordfence kaydı
29. 7,5Yüksek

    Easy Appointments

    18 Nisan 2026 Bilgi sızıntısı Eklenti Giriş gerekmiyor 3.12.21 ve öncesi

    Bilgi sızıntısı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.12.21 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-2262 (NVD) Wordfence kaydı
30. 7,5Yüksek

    Drag and Drop Multiple File Upload for Contact Form 7

    17 Nisan 2026 Dizin aşımı Eklenti Giriş gerekmiyor 1.3.9.6 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3.9.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-5710 (NVD) Wordfence kaydı