WordPres’de Kritik Açık

Taraklı Ajans

400 Bin WordPress Sitesi Tehlikede

Elementor tarafından geliştirilen popüler Ally eklentisinde keşfedilen kritik bir güvenlik açığı, dünya genelinde 400.000'den fazla web sitesini tehdit ediyor. Wordfence araştırmacıları tarafından tespit edilen bu açık, saldırganların herhangi bir giriş yetkisi gerektirmeden hassas verileri çalmasına olanak tanıyor.

CVE-2026-2413: SQL Enjeksiyonu Riski

CVE-2026-2413 olarak izlenen bu güvenlik açığı, Ally eklentisinin 4.0.3 ve önceki tüm sürümlerini etkiliyor. Sorun, eklentinin get_global_remediations() fonksiyonunda yer alan bir SQL enjeksiyonu hatasından kaynaklanıyor.

Açık Nasıl Çalışıyor?

Araştırmacılara göre, kullanıcı tarafından kontrol edilen bir URL parametresi, SQL sorgularına doğrudan ve temizlenmeden dahil ediliyor. Eklentinin kullandığı esc_url_raw() fonksiyonu, SQL enjeksiyonlarını engellemek için yeterli koruma sağlamıyor. Bu durum, saldırganların veritabanı sorgularını manipüle etmesine ve "zaman tabanlı kör SQL enjeksiyonu" (time-based blind SQL injection) yöntemini kullanarak hassas bilgileri ele geçirmesine olanak tanıyor.

Güvenlik Önlemleri

Saldırının gerçekleşebilmesi için eklentinin bir Elementor hesabına bağlı olması ve 'Remediation' modülünün etkinleştirilmiş olması gerekiyor. Elementor, bu kritik açığı kapatan bir güncelleme yayınladı. Uzmanlar, WordPress kullanıcılarının eklentilerini derhal en güncel sürüme yükseltmelerini tavsiye ediyor.