Confection WordPress eklentisinde CVSS 10 açık: kimlik doğrulamasız PHP kod çalıştırma, patch yok
WordPress eklentisi Confection'ın 0.4.0–0.4.7 sürümlerinde, kimliği doğrulanmamış bir saldırganın sunucuda PHP kodu çalıştırmasına izin veren CVE-2026-115252 duyuruldu. WPScan'e göre bilinen bir düzeltme yok; aktif istismar bildirimi de yok.
CVE-2026-115252
WordPress eklentisi Confection'da, kimliği doğrulanmamış bir saldırganın sunucuda PHP kodu çalıştırmasına izin veren CVE-2026-115252 açığı duyuruldu. WPScan 6 Kasım'da yayımladığı kayıtta açığa CVSS 3.1 ile 10,0 puan verdi. CVE kaydı 9 Kasım'da NVD'ye ve GitHub Advisory veritabanına girdi. WPScan kaydına göre açığın bilinen bir düzeltmesi yok. Açık CISA KEV kataloğunda yer almıyor ve aktif istismar bildirimi yok. WPScan, proof of concept ayrıntılarını Şubat 2027'ye kadar yayımlamayacağını belirtiyor.
Kayda göre eklenti, ayarlarını kaydetmeden önce yetki (capability) ve nonce kontrolü yapmıyor. Ayarlardan biri hiçbir değişiklik yapılmadan ayrı bir PHP dosyasına yazılıyor ve eklenti bu dosyayı sunuyor. Sonuçta site tamamen ele geçirilebilir. Açık, kod enjeksiyonu (CWE-94) sınıfında.
Etkilenen ve düzeltilmiş sürümler
| Eklenti | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
Confection (confection) | 0.4.0 – 0.4.7 | Yok (WPScan: "No known fix") |
Beni etkiliyor mu?
- WordPress yönetim panelinde Eklentiler › Yüklü Eklentiler sayfasında "Confection" olup olmadığına bakın.
- Sunucuya erişiminiz varsa eklenti klasörünü ve sürümünü salt okunur olarak kontrol edebilirsiniz:
CODE0 ## Ne yapılmalı?
- Düzeltilmiş sürüm yayımlanana kadar eklentiyi devre dışı bırakın ve sitenizden kaldırın. Eklentinin işlevine ihtiyacınız varsa geçici olarak alternatif bir çözüm kullanın.
- Eklenti kurulu kaldıysa
wp-content/plugins/confection/altındaki PHP dosyalarının değiştirilme tarihlerini ve içeriklerini gözden geçirin. Beklenmeyen kod görürseniz siteyi bir olay olarak ele alın. - Web sunucusu loglarında eklentinin ayar uç noktalarına yönetici oturumu dışından gelen POST isteklerini arayın.
- Ele geçirme şüphesi varsa yönetici parolalarını ve
wp-config.phpiçindeki anahtarları yenileyin. Ardından bilinen temiz bir yedekten geri dönmeyi değerlendirin. - Eklentinin WordPress.org sayfasını ve WPScan kaydını izleyin. Düzeltilmiş sürüm çıkarsa güncellemeyi change management sürecinizle uygulayın.
