---
title: "Elementor'daki CSRF açığı yöneticinin hazırlanmış bağlantıya tıklamasıyla site ele geçirmesine izin veriyor"
url: "https://teknotayf.com/haber/elementor-daki-csrf-acigi-yoneticinin-hazirlanmis-baglantiya-tiklamasiyla-site-ele-gecirmesine-izin-veriyor"
markdown_url: "https://teknotayf.com/haber/elementor-daki-csrf-acigi-yoneticinin-hazirlanmis-baglantiya-tiklamasiyla-site-ele-gecirmesine-izin-veriyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-09-26 12:55:22"
updated: "2026-09-26 10:14:57"
category: "Siber Güvenlik"
tags: ["Siber Güvenlik","WordPress Güvenliği","Web Güvenliği","Elementor Açığı","CSRF Saldırısı"]
source: "The Hacker News"
---

# Elementor'daki CSRF açığı yöneticinin hazırlanmış bağlantıya tıklamasıyla site ele geçirmesine izin veriyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/elementor-daki-csrf-acigi-yoneticinin-hazirlanmis-baglantiya-tiklamasiyla-site-ele-gecirmesine-izin-veriyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Elementor Website Builder eklentisindeki yüksek şiddetli CSRF açığı, kimliği doğrulanmamış saldırganların oturum açmış bir kullanıcının tıklamasıyla sahte yönetici hesabı oluşturmasına olanak tanıyor. Açık 4.3.0 ve 4.3.1 sürümlerini etkiliyor, CVSS puanı 8,8 olarak ölçüldü ve 10 milyondan fazla sitede kullanılan eklentide 2 milyondan fazla kurulumu kapsıyor. Sorun sorumlu açıklama sonrası 4.3.2 sürümüyle giderildi ve Saggre takma adlı araştırmacı tarafından bildirildi.

- **Yayın tarihi:** 2026-09-26 12:55
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Siber Güvenlik, WordPress Güvenliği, Web Güvenliği, Elementor Açığı, CSRF Saldırısı
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/09/elementor-csrf-flaw-lets-attackers-take.html)

![Elementor'daki CSRF açığı yöneticinin hazırlanmış bağlantıya tıklamasıyla site ele geçirmesine izin veriyor](https://teknotayf.com/assets/uploads/2026/09/67b55ce5fb0c27ab51d8fad04695f584.jpg)

Elementor Website Builder WordPress eklentisinde yüksek şiddetli bir güvenlik açığı hakkında detaylar ortaya çıktı. Bu açık, kimliği doğrulanmamış bir saldırganın sahte yönetici hesapları oluşturarak siteyi ele geçirmesine olanak tanıyabilir.

Henüz bir CVE tanımlayıcısı atanmamış olan çapraz site istek sahteciliği açığı, **CVSS puanı 8,8/10,0** taşıyor. Açık yalnızca eklentinin **4.3.0 ve 4.3.1** sürümlerini etkiliyor ve eklenti **10 milyondan fazla** WordPress sitesinde aktif. WordPress.org istatistikleri, etkilenen iki sürümün tek başına **2 milyondan fazla** siteye kurulduğunu gösteriyor.

Patchstack belirtti: "Oturum açmış bir WordPress kullanıcısının açtığı tek bir bağlantı, kullanıcının hesabının yapmasına izin verilen herhangi bir REST API işlemini gerçekleştirmesine neden olur." "Varsayılan kurulumda, bağlantıya tıklayan bir yönetici saldırgan için ikinci bir yönetici hesabı oluşturur."

WordPress güvenlik şirketi, saldırının JavaScript, gönderilen bir form veya tehdit aktörünün kontrolündeki bir web sayfası gibi herhangi bir ön koşula bağlı olmadığını açıkladı. Bağlantı, bir e-postaya, sohbet mesajına veya yoruma gömülü düz bir bağlantı etiketi bile olabilir.

Sorumlu açıklama sonrasında sorun, bu hafta önce yayınlanan **4.3.2** sürümünde giderildi. Açığı keşfedip bildiren kişi, "Saggre" takma adını kullanan bir güvenlik araştırmacısı olarak kayıtlara geçti.

Patchstack, açığın Editor Events modülünün, istek URI'sinde her yerde "elementor/v1/events/" dizgesi göründüğünde çerezle doğrulanmış REST API istekleri için CSRF korumasını atlamasından kaynaklandığını söyledi.

"İstek URI'si sorgu dizgisini içerdiğinden ve sorgu dizgisini bağlantıyı oluşturan kişi yazdığından, herhangi bir REST isteği zararsız görünen bir parametre ekleyerek kendini bu korumadan muaf tutabilir" diye ekledi.

Bypass, sitenin tüm REST API yüzeyine uygulanıyor; bu WordPress çekirdek rotalarını ve üzerinde kurulu her diğer eklentinin rotalarını kapsıyor. Bir saldırgan bu açığı kullanarak "/wp/v2/users" üzerinden yönetici hesabı oluşturabilir.

&password=...

Elementor'un 4.3.0 öncesi sürümleri Editor Events proxy'sini taşımadığından bu açıktan etkilenmiyor. Eklenti kullanıcılarının olası tehditlere karşı en kısa sürede en güncel güncellemeyi uygulamaları öneriliyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/elementor-daki-csrf-acigi-yoneticinin-hazirlanmis-baglantiya-tiklamasiyla-site-ele-gecirmesine-izin-veriyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.