WPHizmet

Hizmetler

Ücretsiz Hız ve Güvenlik KontrolüWordPress RehberiWordPress HatalarıWordPress SözlüğüWordPress GündemiHakkımızdaİletişim
Destek Al
Güvenlik açığıKritik önem

Divi Membership eklentisinde kimlik doğrulama atlatma açığı

Yayınlandı:

Divi Membership eklentisinin 2.3.0 ve önceki sürümlerinde kimlik doğrulama atlatma açığı bildirildi. Kayıt CVE-2026-19660 numarasıyla 2 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi kritik (CVSS 9,8).

Açık, sitede oturum açmamış kişiler tarafından istismar edilebilir. Düzeltilmiş sürüm bilgisi kayıtta yer almıyor; geliştiricinin değişiklik günlüğünü kontrol edin.

Özet bilgiler

Eklenti
Divi Membership
Etkilenen sürümler
2.3.0 ve öncesi
Önem derecesi
Kritik · CVSS 9,8
Açık türü
kimlik doğrulama atlatma
Gereken yetki
Gerekmez (oturum açmadan)
CVE
CVE-2026-19660

Açık türü: kimlik doğrulama atlatma

Saldırgan parolayı bilmeden başka bir kullanıcı olarak — çoğu zaman yönetici — oturum açabilir.

Ne yapmalı?

  1. Etkilenip etkilenmediğinizi kontrol edin

    Eklentiler › Kurulu eklentiler ekranında Divi Membership eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.

  2. Geçici önlem alın

    Düzeltilmiş sürüm çıkana kadar eklentiyi devre dışı bırakmayı değerlendirin. İşlev vazgeçilmezse güvenlik duvarı (WAF) kuralı bulunan bir güvenlik eklentisi veya hizmeti risk azaltır.

  3. Otomatik güncellemeyi açın

    Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.

  4. Belirtilere bakın

    Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.

Sitenizin etkilenip etkilenmediğinden emin değil misiniz?

Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.

WordPress virüs temizlemeSürümünüzü ücretsiz kontrol edin
NVD kaydındaki açıklama (DeepL çevirisi)
WordPress için geliştirilen Divi Membership eklentisi, 2.3.0 sürümü dahil olmak üzere tüm sürümlerinde Kimlik Doğrulama Atlama (Authentication Bypass) güvenlik açığına maruz kalmaktadır. `init` eylemine bağlanan `process_paypal_callback` işlevi, IPN doğrulaması yapılmadan base64 ile kodlanmış bir `paypal_param` GET parametresini kabul eder; kriptografik imza kontrolü, sahiplik doğrulaması ve nonce olmadan `paypal_param` adında bir base64 kodlu GET parametresini kabul eder; bu da, doğrudan `wp_set_current_user()` ve `wp_set_auth_cookie()` işlevlerine aktarılan ve tamamen saldırganın kontrolündeki bir kullanıcı kimliği değerine güvenilmesine yol açar. Bu durum, kimlik doğrulaması yapılmamış saldırganların `paypal_param` GET parametresine rastgele bir kullanıcı kimliği girerek, yöneticiler dahil olmak üzere mevcut herhangi bir WordPress kullanıcısı olarak oturum açmasına ve sonuç olarak sitenin tamamen ele geçirilmesine yol açar. PayPal ağ geçidi sınıfının, PayPal’ın etkinleştirilmiş veya yapılandırılmış olup olmadığına bakılmaksızın koşulsuz olarak örneklendirilmesi, bu güvenlik açığını daha da ciddi hale getirir; bu durum, güvenlik açığına sahip kancanın her ön uç isteğinde her zaman kaydedilmesini sağlar.
Özgün metin (İngilizce)

The Divi Membership plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.3.0. The `process_paypal_callback` function, hooked to the `init` action, accepts a base64-encoded `paypal_param` GET parameter with no IPN validation, no cryptographic signature check, no ownership verification, and no nonce, allowing it to trust an entirely attacker-controlled user ID value that is passed directly to `wp_set_current_user()` and `wp_set_auth_cookie()`. This makes it possible for unauthenticated attackers to log in as any existing WordPress user — including administrators — by supplying an arbitrary user ID in the `paypal_param` GET parameter, resulting in full site takeover. The vulnerability is further compounded by the fact that the PayPal gateway class is instantiated unconditionally regardless of whether PayPal is enabled or configured, ensuring the vulnerable hook is always registered on every front-end request.

Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 2 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.

Kaynaklar ve teknik referanslar

İlgili içerikler

Tüm gündem kayıtları