Giriş
Elementor’un Ally eklentisinde tespit edilen SQL enjeksiyon açığı, WordPress sitelerini ciddi bir saldırıya maruz bırakabilir. Bu güvenlik problemi, 400,000’den fazla kurulum etkileyerek hassas verilerin yetkisiz kişilerce ele geçirilmesine olanak tanımaktadır.
Saldırı Nasıl Çalışıyor?
Ally eklentisindeki SQL enjeksiyon açığı, CVE-2026-2313 kodu ile takip edilmektedir ve yüksek seviye bir güvenlik puanına sahiptir. Eklenti, kullanıcıdan gelen URL parametrelerini uygun bir şekilde temizlemeden kullanmaktadır. Bu durum, saldırganların SQL komutları enjekte ederek veritabanındaki bilgileri okumasına, değiştirmesine veya silmesine imkan tanır.
Açığın detayları şu şekildedir:
- Etkilenen Ally sürümleri: 4.0.3 ve öncesi.
- Problemin kaynağı: get_global_remediations() metodunda kullanıcıdan gelen URL parametresinin yetersiz kaçış işlemi.
- SQL metakarakterlerinin (tek tırnak, parantezler) enjektesi engellenmemiştir.
Bu güvenlik açığı, bir saldırganın ek SQL sorguları eklemesine ve hassas bilgileri veritabanından çekmesine olanak tanır. Wordfence, açığın yalnızca eklentinin bir Elementor hesabına bağlı olduğunda ve Onarım modülü aktifken istismar edilebileceğini belirtmektedir.
Etkilenen Sistemler
WordPress.org verilerine göre, Ally eklentisinin kullanıldığı sitelerin yalnızca %36’sı 4.1.0 sürümüne yükseltilmiştir. Bu durumda, 250,000’den fazla site CVE-2026-2313 güvenlik açığına maruz kalmaktadır.
Çözüm ve Korunma
Ekte verilen aşamaları takip ederek saldırılara karşı korunabilirsiniz:
- Ally eklentisini 4.1.0 sürümüne güncelleyin.
- WordPress’in son güvenlik güncellemesini (sürüm 6.9.2) yükleyin; bu sürüm, birçok güvenlik açığını çözmektedir.
- Site güvenliğinizi periyodik olarak gözden geçirin ve güncelleme yapın.
Sonuç
Site sahipleri, hemen Ally eklentisini 4.1.0 sürümüne güncelleyerek ve WordPress’in en son sürümünü yükleyerek bu açığı kapatmalıdır. Güvenlik almak, her zaman öncelik olmalıdır.
