WordPress dünyasını sarsan yeni bir güvenlik uyarısı geldi. Popüler Avada Builder eklentisinde keşfedilen iki güvenlik açığı, yaklaşık 1 milyon siteyi tehlikeye atıyor. Wordfence tarafından 12 Mayıs'ta yayımlanan analize göre, açıklar bağımsız araştırmacı Rafie Muhammad tarafından 21 Mart'ta Wordfence Bug Bounty Programı aracılığıyla bildirildi. Bu açıklar, sitelerin veritabanı bilgilerinden kullanıcı verilerine kadar hassas bilgilerin sızdırılmasına yol açabilir.
İlk güvenlik açığı olan CVE-2026-4782, 'fusion_get_svg_from_file' fonksiyonunda yer alıyor ve 6.5 CVSS puanına sahip. Bu açık, abone seviyesinde yetkilendirilmiş kullanıcıların, 'custom_svg' parametresi kullanarak sunucudaki hassas dosyaları okumasına izin veriyor. Özellikle WordPress veritabanı bilgilerini içeren wp-config.php dosyası hedef alınabiliyor. Dosya türü ve kaynak doğrulaması yapmayan fonksiyon, saldırganların kolayca sistem bilgilerine erişmesini sağlıyor.
İkinci ve daha ciddi açık ise CVE-2026-4798 olarak kaydedildi ve 7.5 puanla yüksek riskli olarak sınıflandırıldı. Bu SQL enjeksiyon açığı, 'product_order' parametresinde kimlik doğrulaması gerektirmeden çalıştırılabiliyor. WooCommerce eklentisi daha önce kurulup kaldırılmış sitelerde etkili olan bu açık, 'sanitize_text_field()' fonksiyonunun SQL enjeksiyonuna karşı koruma sağlamaması nedeniyle ortaya çıkıyor. ORDER BY ifadesinin WordPress'in prepare() kaçış fonksiyonu kullanılmadan sorguya eklenmesi, saldırganlara veritabanına müdahale imkanı veriyor.
Önemli Gelişmeler
Wordfence, açıkları 24-25 Mart'ta Avada ekibine bildirdi ve aynı gün yama çalışmaları başladı. İlk yama 13 Nisan'da 3.15.2 sürümünde, tam düzeltme ise 12 Mayıs'ta 3.15.3 sürümünde yayımlandı. Site sahiplerine derhal güncelleme yapmaları önerilirken, ek olarak abone hesaplarının denetlenmesi, wp-config.php'deki bilgilerin değiştirilmesi ve şüpheli admin-ajax.php trafiğinin kontrol edilmesi tavsiye ediliyor. Bu açıklar, Avada Builder'ın geçmişteki güvenlik sorunlarına bir yenisini ekliyor.
