ByteCoreStack eklentisinde yetki yükseltme açığı
- Yayınlandı:
ByteCoreStack eklentisinin 1.2.3 ve önceki sürümlerinde yetki yükseltme açığı bildirildi. Kayıt CVE-2026-19807 numarasıyla 1 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi yüksek (CVSS 8,8).
İstismar için en az Abone rolünde bir hesap gerekir. WordPress.org’daki güncel sürüm 1.2.4 (1 Ekim 2026 itibarıyla); kayda göre bu sürüm etkilenen aralığın dışında. Bu sürüme güncellemek açığı kapatır.
Özet bilgiler
- Eklenti
- ByteCoreStack
- Etkin kurulum (WordPress.org)
- 30+
- Etkilenen sürümler
- 1.2.3 ve öncesi
- Güncel sürüm (1 Ekim 2026)
- 1.2.4
- Önem derecesi
- Yüksek · CVSS 8,8
- Açık türü
- yetki yükseltme
- Gereken yetki
- Abone ve üstü
- CVE
- CVE-2026-19807
Açık türü: yetki yükseltme
Düşük yetkili bir kullanıcı kendine — çoğu zaman yönetici düzeyinde — daha yüksek yetkiler kazandırabilir.
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında ByteCoreStack eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Güncelleyin
Önce yedek alın, ardından Eklentiler › Kurulu eklentiler ekranındaki “Şimdi güncelle” bağlantısıyla güncelleyin.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
WordPress için geliştirilen ByteCoreStack – MCP Connector for AI Tools eklentisi, 1.2.3 sürümü dahil olmak üzere tüm sürümlerinde yetki yükseltme güvenlik açığına maruz kalmaktadır. Bu durum, `execute_tool` içindeki `wp_update_user_meta` MCP aracının, yazma işlemlerini yalnızca `current_user_can('edit_user', $uid)` ile sınırlamasından kaynaklanmaktadır — bu kontrol, hedef kullanıcı kimliği çağıranın kendi kimliğiyle eşleştiğinde, WordPress çekirdeğindeki `map_meta_cap` işlevi tarafından `read` temel erişim düzeyine dönüştürülür — ancak yalnızca `user_pass`, `user_activation_key` ve `session_tokens` öğelerini kapsayan eksik bir meta anahtar engelleme listesini uygularken, `wp_capabilities` ve `wp_user_level` meta anahtarlarını tamamen korumasız bırakır. Bu durum, Abone düzeyinde veya daha yüksek erişim hakkına sahip kimliği doğrulanmış saldırganların, MCP JSON-RPC uç noktası üzerinden `key=wp_capabilities` parametresiyle ve kendi kullanıcı kimliğini hedefleyen `{'administrator': true}` gibi rastgele bir rol dizisi içeren `wp_update_user_meta` çağrısını, kendi kullanıcı kimliklerini hedef alarak MCP JSON-RPC uç noktası üzerinden gerçekleştirmelerine olanak tanır ve bu da WordPress adresinin bir sonraki istekte bu hesabı Yönetici olarak yüklemesine neden olur.Özgün metin (İngilizce)
The ByteCoreStack – MCP Connector for AI Tools plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 1.2.3 This is due to the `wp_update_user_meta` MCP tool in `execute_tool` gating writes solely with `current_user_can('edit_user', $uid)` — a check that WordPress core's `map_meta_cap` resolves to the `read` primitive when the target user ID matches the caller's own — while enforcing an incomplete meta key blocklist that covers only `user_pass`, `user_activation_key`, and `session_tokens`, leaving the `wp_capabilities` and `wp_user_level` meta keys entirely unprotected. This makes it possible for authenticated attackers with Subscriber-level access and above to elevate their privileges to Administrator by issuing a `wp_update_user_meta` call over the MCP JSON-RPC endpoint with `key=wp_capabilities` and an arbitrary role array such as `{'administrator': true}` targeting their own user ID, causing WordPress to load that account as an Administrator on the next request.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 1 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.