Import WP < 2.14.23 - Unauthenticated Sensitive Information Exposure via Export File Download
CVSS Skor
7.5
EPSS İhtimal
%0.4
Risk Skoru
0.0
Yayın
2 ay önce
Resmî kaynaklarda yeterli kanıt bulunamadı. Bu sonuç “yama yok” anlamına gelmez.
Envanterimdeki Etkisi
Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.
Oturum kontrol ediliyor…
Zafiyet Açıklaması
CVE AI araştırması
DayBreach AI Açıklaması
Kaynakla doğrulandıOkunan kaynak
2
Kaynak uyumu
Tam uyum
Kanıt güveni
%58
Kısa açıklama
Import WP plugin'ı 2.14.23'ten önceki sürümlerde, dışarı aktarma dosyaları üzerinden kimlik doğrulamasız kullanıcı verileri erişimi sağlar. Kullanım, önceden mevcut bir dışarı aktarma ve düşük entropili zaman bazlı indirme anahtarının elde edilmesi gerektirir. Açık istismar veya aktif istismar bilinmemektedir. Yama durumu BİLİNMEYEN (UNKNOWN) olarak belirlenmiştir. Gerekli düzeltme, 2.14.23 veya sonrası sürüme yükseltme ile sağlanır.
Bu açıklık, kimlik doğrulamasız olarak kullanıcı verilerinin dışarı aktarılmasına izin verir ve Import WP plugin'ı kullanan WordPress sitelerine önemli bir risk oluşturur. Yetersiz koruma durumunda kullanıcı verileri, güvenli olmayan ortamlarda dışarıya çıkarılabilir.
Ne yapılmalı?
- Import WP 2.14.23 veya sonrası sürüme güncelleştirilmesi gerekir
- Düzenlemelerin resmi kaynaklara göre detayları takip edilmelidir
- Üretim ortamında tüketilmemiş dışarı aktarım varlığından emin olunmalıdır
Kaynaklar bazı teknik koşulları sınırlı ayrıntıyla sunuyor. Uygulama kararından önce aşağıdaki kanıt zincirini inceleyin.
Kanıt zinciri ve kaynaklar
Import WP WordPress plugin 2.14.23'ten önceki sürümlerde, dışarı aktarma dosyası indirme işlevi üzerinde kimlik doğrulama kontrolü yoktur. Bu, kimlik doğrulama olmadan kullanıcı verileri (örneğin e-posta adresleri ve giriş isimleri) içeren dışarı aktarma dosyalarını indirme imkanı sunar. Kullanım, bir dışarı aktarma işleminin henüz tüketilmemiş olması ve düşük entropili, zaman bazlı indirme anahtarının elde edilmesiyle gerçekleşir.
Kullanıcı tarafından açık bir istismar veya aktif istismar bildirilmemiştir. CISA'nın KEV listesinde bu açıklık yer almamaktadır ve mevcut kanıtla, yama durumu BİLİNMEYEN (UNKNOWN) olarak belirlenmiştir.
Bu açıklık, Import WP plugin'ının 0 < 2.14.23 sürüm aralığını etkiler. Resmi kaynaklarda düzeltme sürümü mevcut değildir ve yama değerlendirmesi BİLİNMEYEN (UNKNOWN) olarak kalır.
Kaynaklardaki teknik metni göster
The Import WP WordPress plugin before 2.14.23 does not perform any authorization check on one of its export-file download handlers, allowing unauthenticated attackers to download export files generated by administrators, which may contain user personal data such as email addresses, login names and roles. Exploitation requires an unconsumed export to already exist and a low-entropy, time-based download key to be obtained.
CVSS vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE: CWE-200
Açıklama yerel qwen3:4b-instruct modeliyle üretildi. Sayısal metrikler, KEV, yama ve exploit durumları AI tarafından belirlenmez.
IMPACT — Etkilenen Ürünler ve Yazılımlar
Affected Products
The following products are affected by CVE-2026-14925 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.
| ID | VENDOR | PRODUCT | ACTION |
|---|---|---|---|
| 1 | Unknown | Import WP | İncele |
RED HAT CSAF/VEX — Ürün Etki Kontrolü
SCORING — CVSS Çoklu Kaynak Skoru
CVSS Scores
The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.
| SCORE | VERSION | SEVERITY | VECTOR | SOURCE |
|---|---|---|---|---|
| 7.5 | CVSS V31 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N | NVD |
| 7.5 | CVSS V3_1 | HIGH | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N | CVE ADP |
Yama ve İyileştirme Rehberi (Solution)
Solution & Remediation Advisory
İncelenen resmî kaynaklarda yama durumu doğrulanamadı. Bu sonuç “yama yok” anlamına gelmez.
Public exploit ve aktif sömürü durumu
Doğrulanmış exploit istihbaratı
Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.
Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)
CWE - Common Weakness Enumeration
While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2026-14925 is associated with the following CWEs:
Common Attack Pattern Enumeration and Classification (CAPEC)
Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2026-14925 weaknesses.
Saldırı Vektörü ve Erişilebilirlik Karakteristiği
Resmi Kaynaklar ve Danışma Bültenleri
İlgili Benzer Açıklar
Bu açığı API ile alın
Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.
curl -H "x-api-key: $DAYBREACH_API_KEY" \ "https://api.daybreach.dev/api/v1/intel/cves/CVE-2026-14925"