WordPress Elementor Ally Eklentisindeki Kritik Açık 250 Binden Fazla Siteyi Etkiledi

WordPress sitelerinde yaygın şekilde kullanılan Elementor Ally eklentisinde ciddi bir güvenlik açığı ortaya çıktı. CVE-2026-2413 koduyla izlenen SQL injection açığı saldırganların kimlik doğrulaması olmadan hassas verileri ele geçirmesine izin verebiliyor. Güvenlik araştırmacıları söz konusu güvenlik sorununun yüz binlerce WordPress sitesini etkileyebileceğini belirtiyor.

Araştırmacılar Elementor Ally Eklentisindeki SQL Injection Açığını Tespit Etti

Siber güvenlik araştırmacısı Drew Webber, Elementor tarafından geliştirilen Ally eklentisinde önemli bir SQL injection açığı tespit etti. Acquia bünyesinde çalışan güvenlik mühendisi Webber, saldırganların özel olarak hazırlanmış URL parametreleri aracılığıyla veri tabanı sorgularına müdahale edebildiğini açıkladı.

Uzmanlar SQL injection güvenlik açığı türünün yaklaşık yirmi beş yıldır bilinen bir tehdit olduğunu belirtiyor. Araştırmacılar bu açık türünün kullanıcı girdilerinin veri tabanı sorgularına doğrudan eklenmesi durumunda ortaya çıktığını ifade ediyor. Saldırganlar bu yöntemle veri tabanı sorgularını değiştirerek sistemdeki hassas bilgilere erişebiliyor.

Güvenlik araştırmaları CVE-2026-2413 güvenlik açığının Ally eklentisinin 4.0.3 sürümüne kadar olan tüm versiyonlarını etkilediğini ortaya koydu. Araştırmacılar saldırganların kullanıcı doğrulaması olmadan URL yolu üzerinden zararlı SQL sorguları enjekte edebildiğini açıkladı.

Wordfence güvenlik analizi sorunun eklentideki get_global_remediations fonksiyonunda bulunan bir işleme hatasından kaynaklandığını belirtti. Uzmanlar eklentinin kullanıcı tarafından sağlanan URL parametresini yeterli şekilde temizlemeden veri tabanı sorgusuna eklediğini ifade etti. Güvenlik araştırmacıları bu durumun saldırganların veri tabanından hassas bilgileri sızdırmasına zemin hazırladığını vurguladı.

Elementor geliştiricileri güvenlik açığını 23 Şubat tarihinde yayınlanan 4.1.0 sürümü ile giderdi. Güvenlik firması Wordfence araştırmacıları sorunun doğrulanmasının ardından geliştirici ekibe bildirim yapıldığını açıkladı. Araştırmacı Drew Webber keşfettiği güvenlik açığı için 800 dolarlık ödül kazandı. WordPress.org verileri Ally eklentisini kullanan sitelerin yalnızca yaklaşık yüzde 36’sının yeni sürüme güncelleme yaptığını gösteriyor. Bu durum güncelleme yüklemeyen 250 binden fazla WordPress sitesinin hâlâ CVE-2026-2413 güvenlik açığına karşı savunmasız kaldığını ortaya koyuyor.

WordPress geliştiricileri platform için yeni bir güvenlik güncellemesi yayınladı. WordPress 6.9.2 sürümü toplam on farklı güvenlik açığını giderdi. Uzmanlar yeni sürümün XSS güvenlik açığı, yetkilendirme atlatma hatası ve SSRF güvenlik açığı gibi kritik sorunları çözdüğünü açıkladı.

Güvenlik uzmanları site yöneticilerinin yalnızca Ally eklentisini güncellemekle yetinmemesi gerektiğini belirtiyor. Araştırmacılar WordPress güvenlik güncellemesi paketinin de mümkün olan en kısa sürede yüklenmesini öneriyor. Bu adım WordPress site güvenliği açısından önemli bir koruma sağlıyor.