ACPT (Premium) eklentisinde uzaktan kod çalıştırma açığı
- Yayınlandı:
ACPT (Premium) eklentisinin 2.0.66 ve önceki sürümlerinde uzaktan kod çalıştırma açığı bildirildi. Kayıt CVE-2026-105701 numarasıyla 6 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi yüksek (CVSS 8,8).
İstismar için en az Abone rolünde bir hesap gerekir. Düzeltilmiş sürüm bilgisi kayıtta yer almıyor; geliştiricinin değişiklik günlüğünü kontrol edin.
Özet bilgiler
- Eklenti
- ACPT (Premium)
- Etkilenen sürümler
- 2.0.66 ve öncesi
- Önem derecesi
- Yüksek · CVSS 8,8
- Açık türü
- uzaktan kod çalıştırma
- Gereken yetki
- Abone ve üstü
- CVE
- CVE-2026-105701
Açık türü: uzaktan kod çalıştırma
Saldırganın gönderdiği kod sunucuda çalıştırılır. Sitenin ve çoğu zaman aynı hesaptaki diğer sitelerin tamamen ele geçirilmesi anlamına gelir.
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında ACPT (Premium) eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Geçici önlem alın
Düzeltilmiş sürüm çıkana kadar eklentiyi devre dışı bırakmayı değerlendirin. İşlev vazgeçilmezse güvenlik duvarı (WAF) kuralı bulunan bir güvenlik eklentisi veya hizmeti risk azaltır.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
WordPress için geliştirilen “ACPT (Premium)” eklentisi, 2.0.66 sürümü dahil olmak üzere tüm sürümlerinde, render işlevi aracılığıyla Uzaktan Kod Yürütme (RCE) güvenlik açığına maruz kalmaktadır. Bu durum, REST API’sinin form oluşturma uç noktasında yetki kontrolünün eksik olması ve e-posta şablonlarının sanal ortam dışında (unsandboxed) bir Twig ortamında işlenmesinden kaynaklanmaktadır. Bu durum, abone düzeyinde veya daha yüksek erişim hakkına sahip, kimlik doğrulaması yapılmış saldırganların sunucuda kod çalıştırmasına olanak tanır. Saldırının gerçekleştirilebilmesi için saldırganın önce REST API uç noktası aracılığıyla kötü amaçlı email_settings içeren bir form oluşturması, ardından formu göndererek enjekte edilen Twig ifadelerini çalıştırması gerekir.Özgün metin (İngilizce)
The ACPT (Premium) plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.0.66 via the render function. This is due to missing capability check on the REST API form creation endpoint and unsandboxed Twig environment rendering email templates. This makes it possible for authenticated attackers, with subscriber-level access and above, to execute code on the server. The exploit requires the attacker to first create a form with malicious email_settings via the REST API endpoint, then trigger form submission to execute the injected Twig expressions.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 6 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.