İçeriğe geç
Rehber

Üç WordPress Eklentisinde Kritik Açık: Ninja Forms File Uploads, AskAny ve Security For WooCommerce

Ninja Forms File Uploads, AskAny ve Security For WooCommerce için CVE'ler: etkilenen sürümler, yama durumu, KEV kaydı ve yapılacaklar.

3–11 Kasım 2026 arasında üç WordPress eklentisi için kimlik doğrulaması gerektirmeyen, 9 ve üzeri CVSS puanlı dört CVE kaydı yayımlandı: Ninja Forms File Uploads’ta dosya silme (CVE-2026-126537), AskAny’de dosya yükleme (CVE-2026-121497) ve Security For WooCommerce’te yetki yükseltme (CVE-2026-100109, CVE-2026-123695). Üçünün durumu birbirinden çok farklı: biri ücretli bir eklentinin yamalı sürümü, biri 10 aktif kurulumu olan küçük bir eklenti, üçüncüsü ise yaması olmayan ve WordPress.org’dan geçici olarak kapatılmış bir eklenti. Bu yazı kaynaklara göre ne bilindiğini, neyin bilinmediğini ve ne yapılabileceğini anlatır.

Kısaca

  • Ninja Forms – File Uploads (CVE-2026-126537): Kimlik doğrulamasız rastgele dosya silme (CWE-22), CVSS 9.1 (Wordfence). Etkilenen: 3.3.36 ve öncesi; düzeltilmiş: 3.3.37. Wordfence’e göre wp-config.php silinirse WordPress kurulum ekranına düşer ve site ele geçirilebilir, uzaktan kod çalıştırma da mümkün olabilir.
  • AskAny (CVE-2026-121497): Kimlik doğrulamasız kısıtsız dosya yükleme (CWE-434), ziyaretçi ekleri açıkken PHP dosyası yüklenip çalıştırılabiliyor; CVSS 9.8 (CISA-ADP). Etkilenen: 2.2.0’dan önceki sürümler; düzeltilmiş: 2.2.0 (güncel: 2.2.1). WordPress.org’a göre yalnızca 10 aktif kurulum var.
  • Security For WooCommerce (CVE-2026-100109, CVE-2026-123695): Kimlik doğrulamasız yetki yükseltme; yönetici hesabı oluşturma ve yönetici olarak oturum açma. Etkilenen: 1.0.16 ve öncesi. Bilinen bir düzeltme yok (WPScan: “No known fix”); eklenti 13 Ekim 2026’dan beri WordPress.org’dan geçici olarak kapatılmış. CVE-2026-100109 için GitHub’da bir PoC deposu var.
  • Sömürü durumu: CISA KEV kataloğunda dört CVE de yok (10 Kasım 2026 sürümü). CISA-ADP üç CVE için “Exploitation: none” diyor. Patchstack, Ninja Forms kaydına kendi “Known to be exploited!” etiketini koymuş; bu CISA KEV değil ve dayanağı sayfada yazmıyor. Sömürüyü gösteren bağımsız bir kanıt bulamadık.
  • Ne yapmalı: Ninja Forms File Uploads’ı 3.3.37 ya da üstüne, AskAny’yi 2.2.0 ya da üstüne güncelleyin. Security For WooCommerce için kaynaklar düzeltme göstermiyor; kullanıyorsanız devre dışı bırakıp kaldırmayı değerlendirin (bizim önerimiz) ve olası ele geçirme için kontrolleri yapın (aşağıda).

Kim neyi, ne zaman söyledi?

Tarih (2026) Olay Kaynak
13 Ekim Security For WooCommerce, WordPress.org’da “geçici, tam inceleme bekliyor” notuyla kapatılıyor. Kapatma gerekçesi sayfada yok. WordPress.org
13 Ekim Ninja Forms File Uploads açığı satıcıya bildiriliyor. CVE kaydı (Wordfence)
2 Kasım Ninja Forms File Uploads 3.3.37 yayımlanıyor; satıcının güncelleme notu güvenlik düzeltmeleri sayıyor ama bu CVE’yi adıyla anmıyor. Satıcı (ninjaforms.com)
3–5 Kasım CVE-2026-100109 WPScan’da (3 Kasım) ve CVE kaydında (5 Kasım) yayımlanıyor. WPScan, CVE kaydı
5 Kasım AskAny 2.2.0 yayımlanıyor; güncelleme notu sohbet ekleri yüklemesinin sertleştirildiğini söylüyor. WordPress.org
6 Kasım GitHub’da CVE-2026-100109 için bir PoC deposu oluşturuluyor. GitHub (yalnız depo bilgisi okundu)
8 Kasım AskAny 2.2.1 yayımlanıyor (ek bir IDOR düzeltmesi). WordPress.org
9–11 Kasım AskAny ve CVE-2026-123695 WPScan’da (9 Kasım) ve CVE kayıtlarında (11 Kasım) yayımlanıyor; Ninja Forms CVE kaydı 11 Kasım’da yayımlanıyor. WPScan, CVE kayıtları
11 Kasım TheHackerWire üç eklentiyi tek gönderide topluyor. TheHackerWire (ikincil)

Ninja Forms – File Uploads (CVE-2026-126537)

Ninja Forms’un ücretli File Uploads eklentisi WordPress.org’da değil, satıcının sitesinde satılıyor. Kaynakların anlattığına göre sorun, herkese açık bir form gönderisinde istemcinin gönderdiği bir dosya yolunun arka plan yükleme kuyruğuna girmesi ve yolun yükleme dizini içinde olup olmadığı denetlenmeden dosyanın silinmesi. Wordfence’in CVE metni bu yolla wp-config.php silinirse WordPress’in kurulum ekranına düştüğünü, bunun siteyi ele geçirmeye ve uzaktan kod çalıştırmaya yol açabileceğini yazıyor; aynı kusurla S3, Dropbox ya da Google Drive üzerinden dosya okuma ve sızdırma da mümkün.

  • Sürümler: 3.3.36 ve öncesi etkilenir; 3.3.37 düzeltilmiş sürümdür (Wordfence ve Patchstack).
  • Puan: Wordfence 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H). Patchstack kendi puanını 8.6 veriyor. NVD kaydı henüz değerlendirilmiş değil (“Deferred”).
  • Araştırmacı: “daroo” (Wordfence, Patchstack).
  • PoC: Birincil kayıtlarda PoC yok; TheHackerWire “no public exploit code has been confirmed” diyor. Bu, bulunamadığı anlamına gelir, olmadığının kanıtı değildir.
  • Bağlam: Aynı eklenti 2026’da Wordfence’in listesinde birkaç kez CVE aldı; bu, eklentiyi kullananlar için güncelleme takibinin önemini gösteriyor. Etkilenen kurulum sayısı bilinmiyor (ücretli eklenti).

AskAny (CVE-2026-121497)

WordPress.org’daki tam adı “AskAny – AI Chatbot with RAG, Live Agent and Order Tracking”. CVE kaydına göre sohbet mesajlarına eklenen dosyaların uzantısı ve içeriği doğrulanmıyor, tarayıcının bildirdiği dosya türüne güveniliyor; ziyaretçi ekleri açıkken kimliği doğrulanmamış bir kullanıcı PHP dosyası yükleyip çalıştırabiliyor. Ziyaretçi eklerinin varsayılan olarak açık olup olmadığını kaynaklarda bulamadık.

  • Sürümler: 2.2.0’dan önceki sürümler etkilenir; 2.2.0’da düzeltildi. Güncel sürüm 2.2.1.
  • Puan: 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H); bu puan CISA-ADP’den geliyor, WPScan’ın CVE kaydında puan yok. CISA-ADP’nin SSVC değerlendirmesi: Exploitation none, Automatable yes, Technical Impact total.
  • Araştırmacı: “Ryan Fabella” (CVE kaydı ve WPScan).
  • PoC: WPScan, PoC’nin 9 Aralık 2026’da gösterileceğini yazıyor; amaç kullanıcılara güncelleme için zaman tanımak. Yani 9 Aralık, açığın yayın tarihi değil.
  • Bağlam: WordPress.org’a göre 10 aktif kurulum var; haber değeri puanından büyük olabilir.

Security For WooCommerce (CVE-2026-100109 ve CVE-2026-123695)

Eklentinin WordPress.org başlığı “Security For WooCommerce” (slug ultimate-security-for-woocommerce); Patchstack’te “Ultimate Security For WooCommerce: IP Restriction, Password Policy and More” adıyla geçiyor. İsimler benzer olduğu için kendi kurulumunuzda eklentinin adını ve slug’ını kontrol edin.

  • CVE-2026-100109 (1.0.10–1.0.16): Yetki kontrolü olmadan geçici kullanıcı oluşturan bir işlev (usfw_create_temporary_user) üzerinden, çağıranın seçtiği rolde, yönetici dahil hesap oluşturulabiliyor. CVSS 9.8 (WPScan, CVSS 3.0 vektörüyle). CWE: CVE kaydı 862, WPScan sayfası 269 gösteriyor. Araştırmacı: “Afan”. GitHub’da bir PoC deposu var (yalnızca depo bilgisini okuduk, içeriğine bakmadık); WPScan’ın kendi PoC’si 1 Şubat 2027’ye kadar gizli.
  • CVE-2026-123695 (1.0.16 ve öncesi): Bazı REST API yollarında erişim kısıtı yok; kimliksiz bir kullanıcı herhangi bir kullanıcı için oturum jetonu üretip alabiliyor ve yönetici dahil o kullanıcı olarak oturum açabiliyor. CWE-269; CVSS 9.8 (CISA-ADP). Araştırmacı: “Aabideen Bangash”. Bu CVE için herkese açık PoC bulamadık.
  • Düzeltme durumu: WPScan her iki kayıt için “No known fix” diyor. Patchstack bu eklenti için 12 açık listeliyor ve hiçbirinin yamasını göstermiyor; bunlar arasında iki faktörlü kimlik doğrulamanın sıfırlanması, wp-config.php tuzlarının sıfırlanması ve zorlamalı eklenti/tema/çekirdek güncellemeleri var (liste Patchstack’ten; tek tek içeriklerini okumadık).
  • Eklenti durumu: WordPress.org sayfası eklentinin 13 Ekim 2026’dan beri indirilemediğini ve kapatmanın geçici olup tam incelemeyi beklediğini söylüyor. Sayfada gösterilen sürüm 1.0.15, CVE’ler ise 1.0.16’ya kadar diyor; 1.0.16’nın nereden geldiğini doğrulayamadık.

Etkilenip etkilenmediğinizi nasıl anlarsınız?

Aşağıdaki adımlar, kaynaklarda yazılanlardan çok genel WordPress sertleştirme pratiğine dayanır; bu yüzden hepsini “bizim önerimiz” olarak okuyun:

  1. Eklenti envanteri. WordPress yönetim panelinde Eklentiler sayfasından ya da komut satırından (WP-CLI) Ninja Forms File Uploads, AskAny ve Security For WooCommerce’in kurulu olup olmadığına ve sürümüne bakın. Çoklu site kurulumlarında ve kullanılmayan test sitelerinde de bakın.
  2. Yönetici hesapları. Beklenmedik yönetici ya da yüksek yetkili hesapları ve son oturum açma kayıtlarını inceleyin (özellikle Security For WooCommerce kullanıyorsanız).
  3. wp-config.php varlığı ve kurulum ekranı. Dosya silinmişse site WordPress kurulum ekranına döner; sitenizin açılışını ve dosyanın yerinde olduğunu kontrol edin.
  4. Yükleme dizinleri. wp-content/uploads/ altında .php uzantılı beklenmedik dosya olup olmadığına bakın; normal bir yükleme dizininde çalıştırılabilir PHP dosyası bulunmaz.
  5. Günlükler. Eklentinin dosya yükleme ve REST API uçlarına yapılan alışılmadık istekleri web sunucusu günlüklerinde arayın. Kaynaklar bir gösterge (IOC) listesi vermedi; elimizde de yok.

Bir ele geçirme belirtisi bulursanız siteyi yedekleyin, bulguları kaybetmeyecek şekilde müdahale edin ve yönetici parolalarını, uygulama parolalarını ve wp-config.php’deki kimlik doğrulama anahtarlarıyla tuzlarını (salts) yenileyin.

Ne yapmalısınız?

  1. Ninja Forms File Uploads: 3.3.37 ya da üstüne güncelleyin (kaynak: Wordfence, Patchstack; satıcı 3.3.37’yi 2 Kasım’dan beri yayımlıyor).
  2. AskAny: 2.2.0 ya da üstüne, tercihen güncel 2.2.1’e güncelleyin (WordPress.org güncelleme notu).
  3. Security For WooCommerce: Kaynaklar düzeltilmiş bir sürüm göstermiyor. Kullanıyorsanız devre dışı bırakıp kaldırmayı ve ihtiyaç duyduğunuz güvenlik özelliklerini başka bir çözümle karşılamayı değerlendirin (bizim önerimiz; kaynaklar kaldırmayı açıkça önermiyor, düzeltme olmadığını söylüyor).
  4. Dosya yükleme alanlarını sınırlayın (bizim önerimiz). Yükleme dizininde PHP çalıştırmayı sunucu düzeyinde engelleyin ve gereksiz yükleme özelliklerini (AskAny’de ziyaretçi ekleri gibi) kapatın.
  5. Güncelleme takibi. Eklentileri düzenli güncelleyin; kullanılmayan eklentileri ve temaları kaldırın. Bu olay sürüyor ve NVD kayıtları henüz değerlendirilmemiş durumda; yeni bilgi çıkabilir.

Zafiyet taraması ve sızma testi bu tür olaylarda ne işe yarar?

Önce sınırı koyalım: hiçbir tarama ya da test, sitenizin bu açıklardan etkilenmediğini ya da etkilenmeyeceğini garanti etmez. Dışarıdan yapılan bir tarama, eklenti sürümünü her zaman göremez; ücretli ya da özel eklentilerde sürüm bilgisi gizli olabilir. Yama uygulamak ve eklenti envanterinizi tutmak bu işin temelidir.

  1. Eklenti ve sürüm envanteri. Web uygulaması güvenlik taraması, erişilebilen sürüm bilgilerinden bilinen açıklara sahip bileşenleri tespit etmeye yardımcı olabilir; sonucun kapsamı taramanın görebildikleriyle sınırlıdır.
  2. Dosya yükleme ve yetkilendirme testleri. Web uygulaması sızma testi, yükleme alanlarının ve yetki kontrollerinin sistem sahibinin yazılı yetkisiyle sınanmasını kapsar; bu tür kusurlar mantık hatalarıdır ve otomatik taramalar her zaman bulamaz.
  3. Yeniden test. Güncelleme ya da eklenti kaldırma sonrası yapılan yeniden test, test kapsamındaki durumun düzeldiğini gösterir; sunucu ve dizin ayarlarının ayrıca doğrulanması gerekir.

PHP tarafındaki yakın tarihli bir olay için PHP güvenlik açığı rehberimize de bakabilirsiniz.

Seemarter Security ile

WordPress ve diğer web uygulamalarınızdaki bileşenleri ve yükleme akışlarını incelemek için zafiyet taraması ve sızma testi hizmetlerimizi inceleyebilir ya da bizimle iletişime geçebilirsiniz. Tüm çalışmalar, sistem sahibinin yazılı yetkisiyle ve önceden anlaşılan kapsamda yürütülür.

Kaynaklar

Bu yazı 11 Kasım 2026’ya (TSİ) kadar yayımlanmış kaynaklara dayanır; olay sürdüğü için gelişmelere göre güncellenir. NVD değerlendirmeleri, Security For WooCommerce için bir düzeltme ya da eklentinin yeniden açılması, sömürü kanıtı ve KEV durumu yazıya eklenecektir.

Bir sonraki adım

Kapsamı Birlikte Belirleyelim.

İlk görüşmede varlıklarınızı, zaman pencerelerini ve çalışma kurallarını birlikte netleştiriyoruz. Hiçbir tarama ya da test, yazılı onayınız olmadan başlamaz.