İçeriğe geç
Centoculus
tr

Güvenlik uyarısı · Yüksek

WordPress eklenti güvenlik açıkları: NextGEN Gallery dahil 7 eklenti

· 4 dakikalık okuma · Centoculus Security Team

tarihinden beri biliniyor

Etkilenenler: WordPress eklentileri: Widget Options, SureDash, Everest Forms, Drag and Drop File Upload for Elementor Forms, NextGEN Gallery, Ultra Addons for Contact Form 7, Gutenverse Form

Yedi WordPress eklentisindeki sekiz güvenlik açığı 10 ile 13 Kasım 2026 tarihleri arasında duyuruldu. CVSS puanı 8,8 olan en ciddi açıklar Widget Options ve SureDash eklentilerini etkiliyor. Bu listedeki en yaygın kullanılan eklenti, 300.000 aktif kurulumu olan NextGEN Gallery. Güvenlik açıklarının hiçbirinin aktif olarak istismar edildiği bildirilmemiştir.

Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets (100.000 aktif kurulum)

Bir kod enjeksiyonu hatası, Author ve üzeri yetkiye sahip oturum açmış kullanıcıların, sitedeki her ön yüz sayfa görüntülemesinde çalışan PHP ifadeleri enjekte etmesine olanak tanıyor. Bu durum site yapılandırma verilerinin açığa çıkmasına neden olabilir ve başka bir eklenti izin verilen işlev listesini genişletirse kısıtlamasız kod yürütmeye yükselebilir. Katkıda bulunanlar, bir yönetici veya editör gönderilerini daha sonra yayımlarsa bu açığı istismar edebilir. 4.2.6.1 dahil bu sürüme kadar tüm sürümler etkilenmektedir (CVE-2026-116615, CVSS 8,8). Eklentiyi en son sürüme güncelleyin; güncelleme yoksa eklentiyi devre dışı bırakıp kaldırın.

SureDash – Community, Courses & Member Dashboard (1.000 aktif kurulum)

Bir yetki yükseltme hatası, Portal Manager ve üzeri role sahip oturum açmış kullanıcıların yeni kayıtlar için varsayılan rolü yönetici olarak değiştirmesine ve ardından tam yetkili bir yönetici hesabı oluşturmasına olanak tanıyor. 1.13.0 dahil bu sürüme kadar tüm sürümler etkilenmektedir (CVE-2026-123769, CVSS 8,8). Eklentiyi en son sürüme güncelleyin ve kullanıcı listesini ile eklentinin varsayılan rol ayarını beklenmedik değişikliklere karşı inceleyin.

Everest Forms (90.000 aktif kurulum)

Bu eklentide iki hata bulunuyor. CVE-2026-120513 (CVSS 8,2), Save-and-Continue eklentisi etkinse ve hedef formda 'Disable storing entry information' seçeneği açıksa, kimlik doğrulaması yapılmamış ziyaretçilerin 3.6.2 dahil bu sürüme kadar olan sürümlerde wp-content/uploads içindeki dosyaları silmesine izin veriyor. CVE-2026-115483 (CVSS 7,5), kimlik doğrulaması yapılmamış ziyaretçilerin 3.6.3 dahil bu sürüme kadar olan sürümlerde wp-config.php gibi rastgele dosyaları okumasına izin veriyor; bu açık için Everest Forms Pro eklentisi ile dosya eklerinin etkin olduğu ve imza türünde bir alan içeren bir form gerekiyor. Eklentiyi, 3.6.3 sürümünden daha yeni olan en son sürüme güncelleyin.

Drag and Drop File Upload for Elementor Forms (1.000 aktif kurulum)

remove_files fonksiyonundaki rastgele dosya silme hatası, kimlik doğrulaması yapılmamış ziyaretçilerin sunucudaki dosyaları silmesine olanak tanıyor. wp-config.php gibi bir dosya silinirse bu durum uzaktan kod yürütmeye yol açabilir. "yeepdf_not_save" gizlilik seçeneği etkinleştirildiğinde bu hataya erişilebilir. 1.6.2 dahil bu sürüme kadar tüm sürümler etkilenmektedir (CVE-2026-124218, CVSS 8,2). Eklentiyi en son sürüme güncelleyin.

Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery (300.000 aktif kurulum)

handle_job fonksiyonundaki rastgele dosya silme hatası, 'NextGEN Manage gallery' yetkisine sahip oturum açmış kullanıcıların sunucudaki dosyaları silmesine olanak tanıyor. wp-config.php gibi bir dosya silinirse bu durum uzaktan kod yürütmeye yol açabilir. Bu yetki varsayılan olarak yöneticilere aittir, ancak eklentinin Roles ekranından daha düşük rollere devredilebilir. 4.5.5 dahil bu sürüme kadar tüm sürümler etkilenmektedir (CVE-2026-118191, CVSS 8,1). Eklentiyi en son sürüme güncelleyin ve bu yetkinin hangi rollere verildiğini kontrol edin.

Ultra Addons for Contact Form 7 (60.000 aktif kurulum)

Bir dizin geçişi hatası, kimlik doğrulaması yapılmamış ziyaretçilerin sunucudaki rastgele dosyaları okumasına olanak tanıyor; bu dosyalar hassas bilgiler içerebilir. İstismar için PDF Generator eklentisinin etkin olması ve hedef form için bir PDF gövde şablonunun açık olması gerekiyor. 3.5.54 dahil bu sürüme kadar tüm sürümler etkilenmektedir (CVE-2026-100386, CVSS 7,5). Eklentiyi en son sürüme güncelleyin; güncelleme yoksa eklentiyi devre dışı bırakıp kaldırın.

Gutenverse Form (10.000 aktif kurulum)

Bir CSV formül enjeksiyonu hatası, kimlik doğrulaması yapılmamış ziyaretçilerin form gönderimleri aracılığıyla elektronik tablo formülleri kaydetmesine olanak tanıyor. Bu formüller, bir yönetici dışa aktarılmış bir CSV dosyasını açtığında çalışır ve yöneticinin bilgisayarında veri sızmasına veya komut yürütülmesine yol açabilir. 3.2.2 öncesi sürümler etkilenmektedir (CVE-2026-124018, CVSS 7,1). Sürüm 3.2.2 veya daha yeni bir sürüme güncelleyin ve daha önce dışa aktarılmış CSV dosyalarına dikkatle yaklaşın.

Sitelerinizi nasıl kontrol edersiniz

WordPress yönetim panelinde her sitede Eklentiler > Yüklü Eklentiler sayfasını açın ve yüklü sürümleri yukarıda listelenenlerle karşılaştırın. WP-CLI ile tüm eklentileri sürümleriyle ve mevcut güncellemeleriyle görmek için wp plugin list komutunu çalıştırın, ardından wp plugin update <plugin-slug> komutuyla güncelleyin. Yüklü ancak gerekli olmayan eklentileri devre dışı bırakıp kaldırın.

Kaynaklar

Diğer kaynaklar (13)

İlgili yazılar