Veri ve yöntem
Bu sayfadaki her rakam, son güncellemede (1 Kasım 2026) çalışan betiğin ürettiği veriden hesaplanır.
Kaynaklar
- NIST Ulusal Açık Veritabanı (NVD), CVE API 2.0. ABD Ulusal Standartlar ve Teknoloji Enstitüsü’nün yayımladığı, anahtarsız kullanılabilen resmî açık kaydı servisi. Açıklamasında “wordpress” geçen ve son 365 günde yayımlanmış kayıtları alıyoruz. Bu sürümde aralık 1 Kasım 2025 – 1 Kasım 2026, kayıt sayısı 6.971.
- WordPress.org eklenti ve tema bilgi API’si. Sayfası olan ürünlerin güncel sürümü, son güncelleme tarihi, etkin kurulum sayısı, test edildiği WordPress sürümü ve dizinde kapatılıp kapatılmadığı buradan gelir.
This product uses the NVD API but is not endorsed or certified by the NVD. NVD’nin kullanım şartları gereği belirtelim: sitedeki Türkçe açıklamalar, gruplamalar ve hesaplamalar bize aittir; NVD bu içeriği hazırlamamış ya da onaylamamıştır. Her kaydın NVD’deki özgün sayfasına bağlantı veriyoruz.
Güncelleme
Veri betiği her gece çalışır, son 365 günü baştan çeker ve yeni veriyi ancak doğrulamadan geçerse yayına alır. Doğrulama; kayıt sayısının makul aralıkta olmasını, kayıtların çoğunda puan bulunmasını ve en yeni kaydın on günden eski olmamasını kontrol eder. Bir adım başarısız olursa site önceki günün verisiyle kalır. Son çalışma 1572 saniye sürdü.
Kaydı kim açıyor
WordPress kayıtlarının neredeyse tamamını, CVE programında numara verme yetkisi olan (CNA) birkaç güvenlik şirketi açıyor. Bu dönemdeki dağılım: Wordfence 4.560, WPScan 2.051, VulnCheck 161, Patchstack 161, Diğer 18, GitHub 15, MITRE 5. NVD bu kayıtların çoğunu kendisi yeniden puanlamıyor; gösterdiğimiz CVSS puanı genellikle kaydı açan kuruluşun verdiği puandır.
Ürün eşleme
Bir kaydın hangi eklentiye ya da temaya ait olduğunu şu sırayla buluyoruz: kayıttaki “etkilenen ürün” alanında WordPress.org paket adı; Patchstack, Wordfence ve WordPress.org bağlantılarındaki kısa ad (slug); son olarak açıklamadaki ürün adı. Adı aynı olan kayıtlar aynı ürüne bağlanır. 1.379 kayıt (%20) WordPress.org dizininde bulunmayan ürünlere ait; bunları ürün adıyla grupluyoruz ve “dizin dışında” diye işaretliyoruz. Aynı adı taşıyan iki farklı ürün nadiren aynı grupta birleşebilir.
Son 12 ayda en az altı kaydı olan eklentilere ve en az üç kaydı olan temalara ayrı sayfa açıyoruz. Daha önce sayfası açılmış bir eklenti, kayıt sayısı beşe düşene kadar sayfasını korur. Bu sürümde 3.512 ürünün 218 tanesinin sayfası var; diğerleri listelerde ve aramada görünür.
Sürüm durumu nasıl hesaplanıyor
Kayıtlarda iki tür sürüm bilgisi bulunur: etkilenen son sürüm (“2.4.5 ve öncesi”) ve düzeltilmiş sürüm (“2.4.6’da düzeltildi”). 5.077 kayıtta ilki, 2.066 kayıtta ikincisi var. WordPress.org’daki güncel sürümü her kayıtla karşılaştırıyoruz:
- Güncel sürüm etkilenmiyor: güncel sürüm, tüm kayıtlarda düzeltilmiş sürüme eşit ya da ondan yeni, veya etkilenen son sürümden yeni.
- Güncel sürüm etkileniyor: en az bir kayıtta güncel sürüm hâlâ etkilenen aralıkta.
- Sürüm bilgisi eksik: bazı kayıtlarda hiç sürüm bilgisi yok.
- Dizinde kapalı / dizinde yok: karşılaştırma yapılamıyor.
Bu sürümdeki dağılım: etkilenmiyor 185, dizinde yok 20, etkileniyor 5, kapalı 5, eksik bilgi 3. Bu bir tahmindir, tarama değildir: geliştirici sürüm numarasını değiştirmeden düzeltme yayımlamış ya da kayıt sonradan güncellenmiş olabilir. Sitenizdeki sürümü her zaman kendi yönetim panelinizden kontrol edin.
Puan ve yetki
6.960 kaydın (%100) CVSS 3.1 puanı var. Şiddet sınıfları NVD’nin kullandığı aralıklarla aynı: 0,1–3,9 düşük, 4,0–6,9 orta, 7,0–8,9 yüksek, 9,0–10 kritik. “Gereken yetki” bilgisini önce kayıt metnindeki rol ifadesinden (“contributor-level access” gibi), yoksa CVSS vektöründeki PR alanından alıyoruz. “Saldırıda kullanılıyor” ve “kavram kanıtı var” işaretleri, NVD kayıtlarına eklenen CISA SSVC değerlendirmesinden gelir.
Türkçe metinler
Kayıt açıklamalarını çevirmiyoruz. Her satırdaki Türkçe cümle; zayıflık türü, puan vektörü, rol ve sürüm alanlarından kurallarla üretilir. Açık türü sayfalarındaki açıklamalar ve rehber yazıları ekibimiz tarafından yazılır ve kaynak gösterilir.
Açık türü eşlemesi
| Grup | CWE numaraları |
|---|---|
| Siteler arası betik (XSS) | CWE-79, CWE-80, CWE-83, CWE-87 |
| Eksik yetki kontrolü | CWE-862, CWE-863, CWE-284, CWE-285, CWE-732, CWE-280 |
| SQL enjeksiyonu | CWE-89, CWE-564 |
| Başkasının kaydına erişim (IDOR) | CWE-639, CWE-566, CWE-425 |
| Siteler arası istek sahteciliği (CSRF) | CWE-352 |
| Bilgi sızıntısı | CWE-200, CWE-201, CWE-203, CWE-209, CWE-312, CWE-359, CWE-497, CWE-532, CWE-538, CWE-548, CWE-552, CWE-922, CWE-1230 |
| Yetki yükseltme | CWE-269, CWE-266, CWE-268, CWE-270, CWE-250 |
| Dosya okuma, silme ve dizin aşımı | CWE-22, CWE-23, CWE-24, CWE-35, CWE-36, CWE-73, CWE-59 |
| Kısıtsız dosya yükleme | CWE-434, CWE-646 |
| Kimlik doğrulamayı atlatma | CWE-287, CWE-288, CWE-290, CWE-294, CWE-302, CWE-305, CWE-306, CWE-307, CWE-620, CWE-640, CWE-345, CWE-347, CWE-330, CWE-338, CWE-1390, CWE-1391, CWE-798, CWE-521, CWE-522 |
| Kod ve komut enjeksiyonu | CWE-94, CWE-95, CWE-77, CWE-78, CWE-74, CWE-1336, CWE-917, CWE-96, CWE-470 |
| Yerel dosya dahil etme (LFI) | CWE-98, CWE-829 |
| Sunucu taraflı istek sahteciliği (SSRF) | CWE-918 |
| PHP nesne enjeksiyonu | CWE-502 |
| Açık yönlendirme | CWE-601 |
| Diğer ve sınıflandırılmamış | listede olmayan ve boş olanlar |
Sınırlar
- NVD’de açıklamasında “WordPress” geçmeyen kayıtlar listeye girmez. WordPress için ayrı veritabanı tutan şirketlerde, CVE numarası almamış uyarılar da bulunur.
- Bir açığın sitenizi etkileyip etkilemediği, kurulu sürüme ve ayarlarınıza bağlıdır. Bu site sitenizi taramaz.
- Açıkların nasıl kullanılacağına dair teknik ayrıntı vermiyoruz.