Forminator Eklentisinde Tespit Edilen Açık WordPress Sitelerini Tehlikeye Atıyor

WordPress sitelerinde yaygın olarak kullanılan Forminator eklentisinde kritik bir güvenlik açığı keşfedildi. Bu açık, saldırganların kimlik doğrulaması olmadan dosya silebilmesine ve siteyi tamamen ele geçirebilmesine yol açabiliyor.

CVE-2025-6463 Kodu ile Takip Edilen Açık Yüksek Risk Taşıyor

WPMU DEV tarafından geliştirilen Forminator Forms eklentisi, sürükle-bırak mantığıyla çalışan arayüzü sayesinde kullanıcıların kolayca formlar oluşturmasını sağlıyor. Eklenti, WordPress.org verilerine göre 600.000’den fazla sitede aktif olarak kullanılıyor. CVE-2025-6463 koduyla izlenen açık, eklentinin 1.44.2 ve önceki sürümlerini etkiliyor. Güvenlik açığı, form alanlarına gönderilen girdilerin yeterince doğrulanmamasından ve dosya silme işlemlerinin kontrolsüz biçimde gerçekleştirilmesinden kaynaklanıyor.

Eklentinin save_entry_fields() işlevi, form alanlarına gönderilen tüm verileri kaydediyor. Ancak bu işlem sırasında alanın dosya türünde olup olmadığı kontrol edilmiyor. Bir saldırgan, metin alanına dosya yüklemesi taklidi yaparak çekirdek WordPress dosyalarından birine, örneğin wp-config.php dosyasına giden sahte bir yol belirtebiliyor. Yönetici bu form verisini silerse veya eklenti eski kayıtları otomatik olarak temizlerse bu kritik dosya silinebiliyor.

Wordfence tarafından yapılan açıklamaya göre, wp-config.php dosyasının silinmesi WordPress sitesinin tekrar kurulum aşamasına geçmesine neden oluyor. Bu noktada saldırganlar, kendi veritabanlarına yönlendirerek siteyi tamamen ele geçirebiliyor.

Güvenlik araştırmacısı ‘Phat RiO – BlueRock’ tarafından 20 Haziran’da keşfedilen açık, Wordfence tarafından doğrulandıktan sonra WPMU DEV’e bildirildi. Ekip, 30 Haziran’da 1.44.3 sürümünü yayınlayarak hatayı giderdi. Yeni sürümde alan türü denetimi ve yalnızca WordPress’in yükleme dizinine ait dosyaların silinmesini sağlayan ek kontroller getirildi.

Yeni sürüm yayınlandıktan sonra yamanın 200.000’den fazla kez indirildiği bildirildi. Ancak hâlen yüz binlerce WordPress sitesinin bu güvenlik açığına karşı savunmasız olduğu düşünülüyor. Henüz bu açığın aktif olarak kullanıldığına dair bir rapor bulunmuyor fakat teknik detayların kamuya açıklanması ve açığın kolay sömürülebilir olması tehdit riskini artırıyor. Forminator eklentisini kullanan site yöneticilerinin eklentiyi derhâl 1.44.3 sürümüne güncellemesi ya da güncelleyene kadar eklentiyi devre dışı bırakması tavsiye ediliyor.