Haziran 2026

Ayın notları

• En yoğun gün 24 Haziran 2026 oldu; o gün 46 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: Wordfence 258, WPScan 53, VulnCheck 48, Patchstack 17. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 69 tanesi (%18) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Spexo, Splash, WordPress Dating, Entrepreneur, LuxMed, Xstore. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 10,0Kritik

   ACPT (Pro)

   17 Haziran 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.0.52

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.0.47 ve önceki sürümler etkileniyor, düzeltme 2.0.52 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-25470 (NVD) Patchstack kaydı
2. 10,0Kritik

   WordPress & WooCommerce Scraper Plugin, Import Data from Any Site

   17 Haziran 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.0.7 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.7 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2025-69129 (NVD) Patchstack kaydı
3. 9,8Kritik

   EventON (Pro)

   30 Haziran 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor 5.0.11 ve öncesi

   SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.0.11 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-9711 (NVD) Wordfence kaydı
4. 9,8Kritik

   ProfileGrid

   30 Haziran 2026 IDOR Eklenti Giriş gerekmiyor 5.9.9.5 ve öncesi

   Başkasının kaydına erişim (IDOR) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.9.9.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-12073 (NVD) Wordfence kaydı
5. 9,8Kritik

   Invoice Generator

   27 Haziran 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.0.0 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-12415 (NVD) Wordfence kaydı
6. 9,8Kritik

   SignUp & SignIn

   24 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0.0 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-12417 (NVD) Wordfence kaydı
7. 9,8Kritik

   Invoice Generator

   24 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0.0 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-12416 (NVD) Wordfence kaydı
8. 9,8Kritik

   Branda

   20 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 3.4.29 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.4.29 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-11551 (NVD) Wordfence kaydı
9. 9,8Kritik

   Ultimate Addons for Beaver Builder

   20 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor Kavram kanıtı var 1.2.4.1 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.4.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2019-25763 (NVD)
10. 9,8Kritik

    BetterDocs Pro

    19 Haziran 2026 LFI Eklenti Giriş gerekmiyor 3.8.0 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.8.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-7515 (NVD) Wordfence kaydı
11. 9,8Kritik

    WP MAPS PRO

    15 Haziran 2026 Diğer Eklenti Giriş gerekmiyor Düzeltme 6.1.1

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.1.1 öncesindeki sürümler etkileniyor, düzeltme 6.1.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-8935 (NVD) WPScan kaydı
12. 9,8Kritik

    Baggage Freight Shipping Australia

    15 Haziran 2026 Dosya yükleme Eklenti Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2018-25436 (NVD)
13. 9,8Kritik

    Doctreat Core

    10 Haziran 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 1.6.8 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.6.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2025-6254 (NVD) Wordfence kaydı
14. 9,8Kritik

    Woody Code Snippets

    9 Haziran 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 3.3.1

    Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.3.1 öncesindeki sürümler etkileniyor, düzeltme 3.3.1 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2017-20251 (NVD)
15. 9,8Kritik

    Travelscape

    8 Haziran 2026 Dosya yükleme Tema Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2024-58349 (NVD)
16. 9,8Kritik

    Background Image Cropper

    8 Haziran 2026 Dosya yükleme Eklenti Giriş gerekmiyor Sürüm yazmıyor

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2024-58348 (NVD)
17. 9,8Kritik

    Travelscape

    8 Haziran 2026 Kimlik doğrulama Tema Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2023-54352 (NVD)
18. 9,8Kritik

    Hippoo Mobile App for WooCommerce

    5 Haziran 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.9.4 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.9.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-10580 (NVD) Wordfence kaydı
19. 9,8Kritik

    Hybrid Composer

    4 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor Kavram kanıtı var Sürüm yazmıyor

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2019-25738 (NVD)
20. 9,8Kritik

    Ad Manager WD

    4 Haziran 2026 Dizin aşımı Eklenti Giriş gerekmiyor Sürüm yazmıyor

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Kayıtta etkilenen sürüm aralığı belirtilmemiş. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2019-25727 (NVD)
21. 9,8Kritik

    Kirki

    2 Haziran 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 6.0.6 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.0.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-8206 (NVD) Wordfence kaydı
22. 9,8Kritik

    ARMember Premium

    2 Haziran 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 7.3.1 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 7.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-5076 (NVD) Wordfence kaydı
23. 9,3Kritik

    GEO my WP

    16 Haziran 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 4.5.5.1

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.5.5 ve önceki sürümler etkileniyor, düzeltme 4.5.5.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-52715 (NVD) Patchstack kaydı
24. 9,3Kritik

    GPTranslate

    15 Haziran 2026 SQL enjeksiyonu Eklenti Giriş gerekmiyor Düzeltme 2.32.7

    SQL enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.32.6 ve önceki sürümler etkileniyor, düzeltme 2.32.7 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-49776 (NVD) Patchstack kaydı
25. 9,1Kritik

    Avada (Fusion) Builder

    19 Haziran 2026 Dizin aşımı Eklenti Giriş gerekmiyor 3.15.3 ve öncesi

    Dosya okuma, silme ve dizin aşımı türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.15.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-8713 (NVD) Wordfence kaydı
26. 9,1Kritik

    Schema & Structured Data for WP & AMP

    10 Haziran 2026 Dosya yükleme Eklenti Giriş gerekmiyor Kavram kanıtı var Düzeltme 1.60

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.60 öncesindeki sürümler etkileniyor, düzeltme 1.60 sürümünde. CISA değerlendirmesine göre açığın nasıl kullanılacağını gösteren bir kavram kanıtı yayımlanmış. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-9067 (NVD) WPScan kaydı
27. 9,9Kritik

    WordPress-Toolkit

    12 Haziran 2026 Diğer Eklenti Abone hesabı Düzeltme 6.11.0

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: abone düzeyinde, yani en düşük yetkili bir hesabı olan biri. 6.11.0 öncesindeki sürümler etkileniyor, düzeltme 6.11.0 sürümünde.

    CVE-2026-47365 (NVD)
28. 8,8Yüksek

    WP Support Plus Responsive Ticket System

    30 Haziran 2026 Diğer Eklenti Giriş gerekmiyor 9.1.2 ve öncesi

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 9.1.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-11589 (NVD) WPScan kaydı
29. 8,8Yüksek

    Email Address Encoder

    25 Haziran 2026 Diğer Eklenti Giriş gerekmiyor Düzeltme 1.0.25

    Diğer ve sınıflandırılmamış türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 1.0.25 öncesindeki sürümler etkileniyor, düzeltme 1.0.25 sürümünde.

    CVE-2026-5305 (NVD) WPScan kaydı
30. 8,8Yüksek

    WordPress Dating

    17 Haziran 2026 CSRF Tema Giriş gerekmiyor 11.2.0 ve öncesi

    Siteler arası istek sahteciliği (CSRF) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. Saldırının işlemesi için sitedeki bir kullanıcının hazırlanmış bir bağlantıya tıklaması ya da sayfayı açması gerekiyor. 11.2.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor.

    CVE-2026-22342 (NVD) Patchstack kaydı