Eylül 2026

Ayın notları

• En yoğun gün 18 Eylül 2026 oldu; o gün 78 kayıt yayımlandı. Kayıtlar genellikle tek tek değil, kayıt açan kuruluşların toplu gönderimleriyle gelir.
• Kayıtları açan kuruluşlar: WPScan 551, Wordfence 397, VulnCheck 15, Patchstack 10. Bu kuruluşlar CVE programında yetkili numara verici (CNA) olarak çalışıyor.
• Kayıtların 276 tanesi (%28) WordPress.org dizininde bulunmayan, çoğunlukla ücretli ürünlere ait.
• Tema kayıtlarından bazıları: Vayu X, Zella, Astra, VW Writer Blog, Divi, design-scuole-wordpress-theme. Tüm liste temalar sayfasında.

Ayın kritik ve girişsiz yüksek kayıtları

Kritik puanlı kayıtlar ile giriş gerektirmeyen yüksek puanlı kayıtlar; en fazla 30 tanesi.

1. 10,0Kritik

   CryptoPayment Gateway

   13 Eylül 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.2.2 ve öncesi

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-81648 (NVD) WPScan kaydı
2. 10,0Kritik

   teddy-bear-customize-addon

   11 Eylül 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 1.0.5 ve öncesi

   Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-14560 (NVD) WPScan kaydı
3. 10,0Kritik

   miniOrange 2FA

   10 Eylül 2026 Yetki kontrolü Eklenti Giriş gerekmiyor Düzeltme 6.3.1

   Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.3.1 öncesindeki sürümler etkileniyor, düzeltme 6.3.1 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-77770 (NVD) WPScan kaydı
4. 10,0Kritik

   Embed HTML5 Game

   2 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.3 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-4357 (NVD) WPScan kaydı
5. 9,8Kritik

   Zella

   30 Eylül 2026 Dosya yükleme Tema Giriş gerekmiyor Düzeltme 2.6.3

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.6.3 öncesindeki sürümler etkileniyor, düzeltme 2.6.3 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-75873 (NVD) WPScan kaydı
6. 9,8Kritik

   miniOrange OTP Login, Verification and SMS Notifications

   26 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 5.5.5 ve öncesi

   Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.5.5 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-85984 (NVD) Wordfence kaydı
7. 9,8Kritik

   Ultra Addons for Contact Form 7

   26 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 3.5.50 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.5.50 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-82901 (NVD) Wordfence kaydı
8. 9,8Kritik

   Request a Quote for WooCommerce

   26 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 2.9.2 ve öncesi

   Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.9.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-18143 (NVD) Wordfence kaydı
9. 9,8Kritik

   Automation Web Platform

   25 Eylül 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 4.8.6 ve öncesi

   Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.8.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

   CVE-2026-14281 (NVD) Wordfence kaydı
10. 9,8Kritik

    Paytium

    24 Eylül 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 5.0.3 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 5.0.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-18467 (NVD) Wordfence kaydı
11. 9,8Kritik

    Visual Composer Website Builder

    24 Eylül 2026 LFI Eklenti Giriş gerekmiyor 45.16.0 ve öncesi

    Yerel dosya dahil etme (LFI) türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 45.16.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-12227 (NVD) Wordfence kaydı
12. 9,8Kritik

    Give Tributes

    22 Eylül 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 2.3.1 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.3.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-19658 (NVD) Wordfence kaydı
13. 9,8Kritik

    Meta Box Frontend Submission

    22 Eylül 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 4.5.6 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 4.5.6 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-13355 (NVD) Wordfence kaydı
14. 9,8Kritik

    Web to Print Online Designer

    21 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor Düzeltme 2.15.0

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.15.0 öncesindeki sürümler etkileniyor, düzeltme 2.15.0 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-82187 (NVD) WPScan kaydı
15. 9,8Kritik

    Botiga Pro

    19 Eylül 2026 Yetki kontrolü Eklenti Giriş gerekmiyor Düzeltme 1.6.5

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.6.5 öncesindeki sürümler etkileniyor, düzeltme 1.6.5 sürümünde. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-86591 (NVD) WPScan kaydı
16. 9,8Kritik

    Gravity Forms

    19 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 3.1.0.4 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.1.0.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-84434 (NVD) Wordfence kaydı
17. 9,8Kritik

    Multi Uploader for Gravity Forms

    17 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.1.9 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.1.9 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-87796 (NVD) Wordfence kaydı
18. 9,8Kritik

    Login with QR

    17 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0.0 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-86710 (NVD) WPScan kaydı
19. 9,8Kritik

    The Pressengine

    17 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-86709 (NVD) WPScan kaydı
20. 9,8Kritik

    Private Feed Key

    17 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 0.1 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-86707 (NVD) WPScan kaydı
21. 9,8Kritik

    TrueBooker

    16 Eylül 2026 Yetki kontrolü Eklenti Giriş gerekmiyor 1.2.3 ve öncesi

    Eksik yetki kontrolü türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-14349 (NVD) Wordfence kaydı
22. 9,8Kritik

    JetFormBuilder

    16 Eylül 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 3.6.2 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 3.6.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-12793 (NVD) Wordfence kaydı
23. 9,8Kritik

    WP Component

    12 Eylül 2026 Yetki yükseltme Eklenti Giriş gerekmiyor 2.2.4 ve öncesi

    Yetki yükseltme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 2.2.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-85681 (NVD) WPScan kaydı
24. 9,8Kritik

    WP images upload on piclect

    12 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.0 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-84171 (NVD) WPScan kaydı
25. 9,8Kritik

    DS Ad Rotator

    12 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 0.8 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 0.8 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-81402 (NVD) WPScan kaydı
26. 9,8Kritik

    The Events Calendar

    12 Eylül 2026 Kod enjeksiyonu Eklenti Giriş gerekmiyor 6.17.3 ve öncesi

    Kod ve komut enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.17.3 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-78159 (NVD) Wordfence kaydı
27. 9,8Kritik

    The Events Calendar

    12 Eylül 2026 Nesne enjeksiyonu Eklenti Giriş gerekmiyor 6.17.4 ve öncesi

    PHP nesne enjeksiyonu türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 6.17.4 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-78006 (NVD) Wordfence kaydı
28. 9,8Kritik

    Frontegg SAML SSO

    12 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0.1 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-75800 (NVD) WPScan kaydı
29. 9,8Kritik

    MIPL Grouped Checkout Fields for WooCommerce. Customize & Organize Che

    11 Eylül 2026 Dosya yükleme Eklenti Giriş gerekmiyor 1.2.2 ve öncesi

    Kısıtsız dosya yükleme türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.2.2 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-8778 (NVD) Wordfence kaydı
30. 9,8Kritik

    advanced-customized-prompts

    11 Eylül 2026 Kimlik doğrulama Eklenti Giriş gerekmiyor 1.0.1 ve öncesi

    Kimlik doğrulamayı atlatma türünde bir açık. Kayda göre açığı kullanabilecek kişi: sitede hesabı olmayan herhangi biri. 1.0.1 ve önceki sürümler etkileniyor; kayıtta düzeltilmiş sürüm numarası yazmıyor. Saldırı otomatikleştirilebilir olarak işaretlenmiş, yani toplu tarama ile denenebilir.

    CVE-2026-14563 (NVD) WPScan kaydı