Frontend Dashboard eklentisinde yetki yükseltme açığı
- Yayınlandı:
Frontend Dashboard eklentisinin 3.0.5 öncesi sürümlerinde yetki yükseltme açığı bildirildi. Kayıt CVE-2026-103692 numarasıyla 8 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi kritik (CVSS 9,8).
Açık, sitede oturum açmamış kişiler tarafından istismar edilebilir. WordPress.org’daki güncel sürüm 3.0.7 (8 Ekim 2026 itibarıyla); kayda göre bu sürüm etkilenen aralığın dışında. Bu sürüme güncellemek açığı kapatır.
Özet bilgiler
- Eklenti
- Frontend Dashboard
- Etkin kurulum (WordPress.org)
- 500+
- Etkilenen sürümler
- 3.0.5 öncesi
- Güncel sürüm (8 Ekim 2026)
- 3.0.7
- Önem derecesi
- Kritik · CVSS 9,8
- Açık türü
- yetki yükseltme
- Gereken yetki
- Gerekmez (oturum açmadan)
- CVE
- CVE-2026-103692
Açık türü: yetki yükseltme
Düşük yetkili bir kullanıcı kendine — çoğu zaman yönetici düzeyinde — daha yüksek yetkiler kazandırabilir.
Ne yapmalı?
Etkilenip etkilenmediğinizi kontrol edin
Eklentiler › Kurulu eklentiler ekranında Frontend Dashboard eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.
Güncelleyin
Önce yedek alın, ardından Eklentiler › Kurulu eklentiler ekranındaki “Şimdi güncelle” bağlantısıyla güncelleyin.
Otomatik güncellemeyi açın
Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.
Belirtilere bakın
Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.
Sitenizin etkilenip etkilenmediğinden emin değil misiniz?
Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.
3.0.5 sürümünden önceki Frontend Dashboard WordPress eklentisi, kimlik doğrulaması yapılmamış kullanıcıların erişebildiği ve istek verileriyle saldırganın seçtiği bir PHP işlevini veya sınıf yöntemini çağıran eylemler üzerinde herhangi bir yetkilendirme veya nonce kontrolü gerçekleştirmez; bu da kimlik doğrulaması yapılmamış kullanıcıların, yöneticiler dahil olmak üzere herhangi bir hesabı ele geçirmesine olanak tanır.Özgün metin (İngilizce)
The Frontend Dashboard WordPress plugin before 3.0.5 does not perform any authorisation or nonce check on actions available to unauthenticated users that call an attacker-chosen PHP function or class method with the request data, allowing unauthenticated users to take over any account, including administrators.
Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 8 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.