İki WordPress eklentisinde kritik yetki yükseltme açığı: Frontend Admin ve Melapress Role Editor
WordPress eklentileri Frontend Admin by DynamiApps (CVE-2026-119506, CVSS 9.1) ve Melapress Role Editor'da (CVE-2026-109900, CVSS 9.6) hatalı yetki ataması açıkları duyuruldu. Açıklar yetki yükseltmeye izin veriyor; aktif istismar bildirimi yok.
CVE-2026-119506, CVE-2026-109900
WordPress sitelerinde ön yüz formları ve kullanıcı rolleri yönetimi için kullanılan iki eklentide kritik yetki yükseltme açıkları kamuya açıklandı. Patchstack üzerinden bildirilen açıklar 8 ve 9 Kasım'da CVE kayıtlarına ve GitHub Advisory veritabanına girdi. İki açık da hatalı yetki ataması (CWE-266) sınıfında. Açıklar CISA KEV kataloğunda yer almıyor ve aktif istismar bildirimi yok.
CVE-2026-119506(CVSS 9.1), Frontend Admin by DynamiApps (acf-frontend-form-element): Advanced Custom Fields tabanlı ön yüz formları sağlayan eklentide, 3.30.1 ve önceki sürümleri etkileyen yetki yükseltme açığı.CVE-2026-109900(CVSS 9.6), Melapress Role Editor (melapress-role-editor): Kullanıcı rollerini ve yetkilerini düzenleyen eklentide, 1.3.0 ve önceki sürümleri etkileyen yetki yükseltme açığı.
Rol ve yetki yöneten eklentilerdeki bu tür açıklar, düşük yetkili bir hesabın yönetici yetkisi kazanmasına ve sitenin tamamen ele geçirilmesine yol açabileceği için kritik sayılıyor.
Etkilenen ve düzeltilmiş sürümler
| Eklenti | CVE | Etkilenen | Düzeltme |
|---|---|---|---|
| Frontend Admin by DynamiApps | CVE-2026-119506 | 3.30.1 ve öncesi | Patchstack kaydındaki düzeltilmiş sürüm |
| Melapress Role Editor | CVE-2026-109900 | 1.3.0 ve öncesi | Patchstack kaydındaki düzeltilmiş sürüm |
Düzeltilmiş sürüm numarası için üretici bildirimindeki ve Patchstack kaydındaki liste esas alınmalı.
Beni etkiliyor mu?
Bu eklentilerden biri kurulu ve sürümü tablodaki aralıktaysa etkileniyorsunuz. Yönetim panelindeki Eklentiler sayfasından ya da sunucuda salt okunur olarak kontrol edebilirsiniz:
ls wp-content/plugins/ | grep -Ei "acf-frontend-form-element|melapress-role-editor"
grep -h "Version:" wp-content/plugins/acf-frontend-form-element/*.php wp-content/plugins/melapress-role-editor/*.phpKullanıcı kaydına açık ya da çok sayıda abone/yazar hesabı bulunan siteler önceliklidir.
Ne yapılmalı?
- Eklentileri WordPress yönetim panelinden ya da kendi dağıtım sürecinizle düzeltilmiş sürüme güncelleyin.
- Güncelleme hemen yapılamıyorsa eklentiyi geçici olarak devre dışı bırakmayı ve yeni kullanıcı kaydını kapatmayı değerlendirin.
- Yönetici hesaplarını salt okunur olarak listeleyin (
wp user list --role=administrator) ve tanımadığınız hesap olup olmadığını kontrol edin. - Son günlerde rol değişikliği yapılan kullanıcıları ve beklenmeyen yeni yetkileri denetim kayıtlarında arayın.
- Hardening kapsamında rol ve yetki eklentilerinin gerçekten gerekli olup olmadığını gözden geçirin; kullanılmayanları kaldırın.
