WPHizmet

Hizmetler

Ücretsiz Hız ve Güvenlik KontrolüWordPress RehberiWordPress HatalarıWordPress SözlüğüWordPress GündemiHakkımızdaİletişim
Destek Al
Güvenlik açığıYüksek önem

Simply Schedule Appointments eklentisinde hassas bilgi ifşası açığı

Yayınlandı:

Simply Schedule Appointments eklentisinin 1.6.12.32 ve önceki sürümlerinde hassas bilgi ifşası açığı bildirildi. Kayıt CVE-2026-92245 numarasıyla 1 Ekim 2026 tarihinde NVD’de yayımlandı; önem derecesi yüksek (CVSS 7,5).

Açık, sitede oturum açmamış kişiler tarafından istismar edilebilir. WordPress.org’daki güncel sürüm 1.6.12.33 (1 Ekim 2026 itibarıyla); kayda göre bu sürüm etkilenen aralığın dışında. Bu sürüme güncellemek açığı kapatır.

Özet bilgiler

Eklenti
Simply Schedule Appointments
Etkin kurulum (WordPress.org)
50.000+
Etkilenen sürümler
1.6.12.32 ve öncesi
Güncel sürüm (1 Ekim 2026)
1.6.12.33
Önem derecesi
Yüksek · CVSS 7,5
Açık türü
hassas bilgi ifşası
Gereken yetki
Gerekmez (oturum açmadan)
CVE
CVE-2026-92245

Açık türü: hassas bilgi ifşası

Görmemesi gereken biri; kullanıcı bilgileri, sipariş verileri veya yapılandırma ayrıntıları gibi bilgilere erişebilir.

Ne yapmalı?

  1. Etkilenip etkilenmediğinizi kontrol edin

    Eklentiler › Kurulu eklentiler ekranında Simply Schedule Appointments eklentisinin kurulu olup olmadığına ve sürümüne bakın. Kurulu değilse bu kayıt sizi etkilemez.

  2. Güncelleyin

    Önce yedek alın, ardından Eklentiler › Kurulu eklentiler ekranındaki “Şimdi güncelle” bağlantısıyla güncelleyin.

  3. Otomatik güncellemeyi açın

    Kurulu eklentiler ekranında eklentinin satırındaki “Otomatik güncellemeyi aç” bağlantısı, sonraki düzeltmelerin gecikmeden kurulmasını sağlar.

  4. Belirtilere bakın

    Tanımadığınız yönetici hesapları, değişmiş dosyalar, beklenmedik yönlendirmeler veya spam içerik görüyorsanız açık istismar edilmiş olabilir; siteyi yalnızca güncellemek bu durumda yetmez.

Sitenizin etkilenip etkilenmediğinden emin değil misiniz?

Güncellemek açığı kapatır ama içeri girilmişse bırakılan arka kapıyı silmez. Sitenizde zararlı kod olabileceğinden şüpheleniyorsanız tarayıp temizliyor, giriş noktasını kapatıyoruz.

WordPress virüs temizlemeSürümünüzü ücretsiz kontrol edin
NVD kaydındaki açıklama (DeepL çevirisi)
WordPress için geliştirilen “Simply Schedule Appointments” eklentisi, 1.6.12.32 sürümüne kadar (bu sürüm dahil) tüm sürümlerinde “recursive” parametresi yoluyla Hassas Bilgilerin Açığa Çıkması güvenlik açığına maruz kalmaktadır. Bu durum, kimlik doğrulaması yapılmamış saldırganların, randevu kayıtlarında depolanan isimler, e-posta adresleri, telefon numaraları ve özel form alanı verileri dahil olmak üzere müşterilere ait kişisel tanımlayıcı bilgileri (PII) ve randevu başına public_token değerlerini elde etmesine olanak tanır. Sızan randevu başına public_token değerleri, kimlik doğrulaması yapılmamış saldırganların, tek yetkilendirme olarak bu tokeni kabul eden DELETE /wp-json/ssa/v1/appointments/{id} uç noktası aracılığıyla istedikleri randevuları silmelerine de olanak tanır.
Özgün metin (İngilizce)

The Simply Schedule Appointments plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 1.6.12.32 via the 'recursive' parameter. This makes it possible for unauthenticated attackers to extract customer PII — including names, email addresses, phone numbers, and custom form field data — stored in appointment records, as well as per-appointment public_token values. The leaked per-appointment public_token values also enable unauthenticated attackers to delete arbitrary appointments via the DELETE /wp-json/ssa/v1/appointments/{id} endpoint, which accepts the token as sole authorization.

Bu sayfa NVD kaydından ve WordPress.org dizin verisinden otomatik oluşturuldu; sürüm ve kurulum bilgileri kaydın alındığı 1 Ekim 2026 tarihine aittir. Açığın teknik ayrıntıları için kaynaklara bakın.

Kaynaklar ve teknik referanslar

İlgili içerikler

Tüm gündem kayıtları