WordPress Advanced Form Integration eklentisinde kimlik doğrulama atlatma ve şifre değiştirme açığı
Yapay zeka üretimi18.10.2026
- CVE
- CVE-2026-104797
- Ciddiyet
- Yüksek (CVSS 8.1)
- Firma / ürün
- - / -
Özet
Advanced Form Integration - Connect Forms to 300+ Apps eklentisinin 2.9.0 ve öncesi sürümlerinde, doğrulanmamış şifre değişikliği yoluyla kimlik doğrulama atlatma hatası bulunuyor.
Ayrıntılar
NVD kaydına göre, Advanced Form Integration - Connect Forms to 300+ Apps WordPress eklentisi, Ultimate Member eklentisinin "Update Profile Field" eylemini kullanan bir fonksiyon aracılığıyla, saldırganın sağladığı e-posta adresine göre hedef kullanıcıyı belirleyip, denetimsiz bir şekilde şifre alanını (user_pass) güncelleyebiliyor. Bu işlemde kimlik doğrulama, sahiplik kontrolü, yetki kontrolü ya da mevcut şifre yeniden doğrulaması yapılmadığı için, yetkisiz bir saldırgan, bir Contact Form 7 formu üzerinden hedef e-posta ve şifre anahtarını göndererek herhangi bir WordPress kullanıcısının, özellikle de yönetici hesabının şifresini değiştirebilir ve siteyi tamamen ele geçirebilir. Açığın ciddiyeti yüksek (CVSS 8.1) olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve ürüne dışarıdan erişimi mümkün olduğunca sınırlayın.