Royal MCP açığı, WordPress sitelerinde tam ele geçirme riski oluşturuyor

Royal MCP WordPress eklentisinin 1.5.7 öncesi sürümlerinde tespit edilen CVE-2026-111958, önizleme bağlantısı belirtecinin yalnızca oluşturulduğu işlemle sınırlı kalmamasına yol açıyor. Geçerli bir belirteci elde eden kişi, REST API genelinde belirtecin sahibi kullanıcı olarak doğrulanabiliyor ve varsayılan yapılandırmada bu kullanıcı yönetici oluyor.

Açık, REST API isteklerinde nonce gerektirmeden işlem yapılabilmesine olanak tanıyor. Bu durum, önizleme için üretilen bir belirtecin farklı API işlemlerinde yeniden kullanılabilmesi ve yönetici yetkileriyle site üzerinde işlem yapılabilmesi anlamına geliyor. NVD kaydına göre sonuç, tam site ele geçirmeye kadar varabiliyor.

Kayıtlarda açığın aktif olarak sömürülüp sömürülmediğine ilişkin bilgi bulunmuyor. Bununla birlikte, etkilenen sürümleri kullanan WordPress sitelerinde geçerli bir önizleme belirtecinin yetkisiz kişilerce elde edilmesi, hesap ve site bütünlüğü açısından doğrudan risk oluşturuyor.

-
Kaynak: https://nvd.nist.gov/vuln/detail/CVE-2026-111958

Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.