WP Duplicate eklentisinde aktif istismar edilen CVSS 9.8 açık; düzeltilmiş sürüm yok
WordPress eklentisi WP Duplicate'in 1.1.11 ve önceki sürümlerinde kimlik doğrulamasız dosya yükleme ve kod çalıştırmaya yol açan CVE-2026-123751 açığı saldırılarda kullanılıyor. WPScan kaydında düzeltilmiş sürüm yok.
CVE-2026-123751
WordPress'te site kopyalama ve taşıma işlerinde kullanılan WP Duplicate eklentisinde, kimliği doğrulanmamış bir saldırganın sunucuya istediği dosyayı yazmasına izin veren CVE-2026-123751 açığı saldırılarda kullanılıyor. WPScan kaydı 6 Kasım'da yayımladı ve CVSS 3.1 ile 9,8 puan verdi. CVE kaydı 9 Kasım'da NVD'ye girdi. Kayıtta açığın aktif olarak istismar edildiği açıkça belirtiliyor.
Açık şimdilik CISA KEV kataloğunda yok. Ancak saldırılarda kullanıldığı kaynakla doğrulandığı için masa bu açığı acil önceliğe aldı. WPScan kaydına göre eklenti, isteklerdeki doğrulama değerini düzgün kontrol etmiyor ve yüklenen dosyanın yolunu ya da türünü denetlemiyor. Bunun sonucunda sunucuda kod çalıştırılabiliyor ve site tamamen ele geçirilebiliyor. Kayıtta bilinen bir düzeltme yer almıyor. Eklenti WordPress.org eklenti dizininde de bulunmuyor.
Etkilenen ve düzeltilmiş sürümler
| Eklenti | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| WP Duplicate | 1.1.11 ve önceki tüm sürümler | Yok (WPScan kaydında düzeltme bildirilmedi) |
Güncel durum için WPScan kaydını takip edin.
Beni etkiliyor mu?
Sitenizde eklentinin kurulu olup olmadığını ve sürümünü kontrol edin. Sunucuda eklenti klasörünü arayın:
ls -la wp-content/plugins/ | grep -i duplicateYönetim panelinde Eklentiler › Yüklü eklentiler sayfasından da bakabilirsiniz. Eklenti devre dışı olsa bile dosyaları sunucuda durduğu sürece risk sürebilir.
Ne yapılmalı?
- Düzeltilmiş sürüm olmadığı için eklentiyi devre dışı bırakıp kaldırın. Site taşıma işi için bakımı süren başka bir araç kullanın.
- Kaldırmadan önce sitenin ele geçirilmiş olabileceğini varsayın.
wp-content/uploadsve eklenti klasörlerinde son günlerde oluşmuş, beklenmeyen PHP dosyalarını arayın. - Web sunucusu erişim kayıtlarında eklenti yoluna giden POST isteklerini ve bilinmeyen dosyalara yapılan çağrıları inceleyin.
- Şüpheli bulgu varsa yönetici hesaplarını gözden geçirin, parolaları ve
wp-config.phpiçindeki salt anahtarlarını yenileyin, veritabanı parolasını değiştirin. - Bir WAF kullanıyorsanız eklentinin uç noktalarına giden kimliksiz istekleri engelleyen bir kural geçici bir önlem olabilir. Bu, eklentiyi kaldırmanın yerini tutmaz.
- Yönettiğiniz çok sayıda site varsa eklenti envanterini tarayın ve kaldırma işini change management kaydıyla takip edin.
Bu hafta WordPress tarafında kod çalıştırmaya yol açan başka açıklar da duyuruldu: Confection eklentisindeki CVSS 10 açık.
