Basel Teması Açığı: Sosyal Girişle Hesaba Parolasız Giriş

ABD Ulusal Güvenlik Açığı Veritabanı (NVD), 10 Kasım 2026'da WooCommerce mağazalarında kullanılan Basel temasının eklentisi Basel Post Types için kritik düzeyde bir açık kaydı yayımladı (CVE-2026-89324, CVSS 9,8). Kaydı Wordfence bildirdi. Açık, temanın sosyal giriş özelliği açık olan mağazalarda oturum açmamış birinin, yönetici dahil var olan her hesaba parola sormadan girmesine izin veriyor.

Kayıt, WordPress ve WooCommerce üzerinde Basel temasını kullanan mağazalar içindir. Basel, tema pazarı ThemeForest'te satılan bir e-ticaret temasıdır; Basel Post Types, temayla birlikte kurulan eklentisidir. WooCommerce'in kendisinde ya da WordPress çekirdeğinde bir açık değildir.

Eklenti	Etkilenen Sürümler	Yamalı Sürüm	Açığın Türü
Basel Post Types (Basel teması)	1.18 ve öncesi	Henüz duyurulmadı	Kimlik doğrulama atlanması

Basel teması açığı hangi mağazaları etkiler

NVD kaydına göre açığın çalışması için iki koşul birlikte gerekir: WooCommerce etkin olmalı ve temanın ayarlarında en az bir sosyal giriş sağlayıcısı (Facebook, Google ya da VKontakte) geçerli bir uygulama kimliği ve gizli anahtarla tanımlı olmalıdır. Müşterilerin "Facebook ile Giriş Yap" ya da "Google ile Giriş Yap" düğmesiyle hesap açtığı Basel mağazaları bu koşulu taşır.

Açığın nedeni eklentideki bir kodlama hatasıdır: sosyal girişten dönen yanıtın imzası, sitenin kendi gizli anahtarıyla değil, temanın kaynak kodunda herkesin görebildiği sabit bir değerle denetleniyor. Bu yüzden saldırgan, hedeflediği hesabın e-posta adresini bilerek geçerli görünen bir giriş yanıtı üretebiliyor. NVD kaydına göre bu yolla parola, iki adımlı doğrulama ve hesap sahipliği denetimi atlanır; saldırgan o hesabın tam oturumunu alır. Hesap yöneticiyse mağazanın bütün yönetimi, siparişler ve müşteri bilgileri açılır.

Yama yokken mağaza sahibinin yapacağı kontroller

• Sosyal Giriş: Temanın ayarlarındaki sosyal giriş bölümünde Facebook, Google ve VKontakte için tanımlı uygulama kimliğini ve gizli anahtarı kaldırın. NVD kaydına göre açık, bu bilgiler tanımlı değilken çalışmaz. Müşteriler bu sürede e-posta ve parolayla giriş yapar.
• Kurulu Sürüm: Eklentiler ekranında Basel Post Types satırının altındaki sürümü not alın; 1.18 ya da daha eskiyse mağaza etkilenen sürümdedir.
• Yönetici Hesapları: Kullanıcılar ekranında tanımadığınız yönetici ya da son günlerde rolü değişmiş hesap olup olmadığına bakın.
• Açık Oturumlar: Yönetici hesaplarının profil ekranındaki "Log Out Everywhere Else" (öteki her yerde oturumu kapat) düğmesiyle başka cihazlardaki oturumları kapatın.
• Güncelleme: Tema geliştiricisi yamalı sürümü duyurduğunda temayı ve Basel Post Types eklentisini birlikte güncelleyin; güncellemeden önce sitenin ve veritabanının yedeğini alın.

Tanımadığınız bir yönetici hesabı, beklenmedik bir sipariş ya da ayar değişikliği görürseniz sosyal girişi kapatmak yetmez: sitenin ihlal açısından incelenmesi, temizlenmesi ve bütün yönetici parolalarının yenilenmesi gerekir. Bu inceleme mağazanın verisine ve müşteri bilgilerine dokunduğu için uzman eliyle yapılmalıdır. AdPix'in e-ticaret teknik destek hizmeti bu incelemeyi kapsar. WooCommerce'teki öteki güncel açıklar 7 Kasım'da duyurulan eklenti açıkları kaydındadır.

Basel teması açığı hakkında sık sorulan sorular

Mağazam Basel temasını kullanıyor, hemen ne yapmalıyım?

Önce temanın ayarlarındaki sosyal giriş bölümüne bakın. Facebook, Google ya da VKontakte için uygulama kimliği ve gizli anahtar tanımlıysa açık sizin mağazanızda çalışır. Yama çıkana kadar bu bilgileri kaldırıp sosyal girişi kapatmak, açığın koşulunu ortadan kaldırır.

Sosyal girişi hiç kurmadıysam risk var mı?

NVD kaydına göre açığın çalışması için WooCommerce'in etkin olması ve en az bir sosyal giriş sağlayıcısının geçerli uygulama bilgileriyle tanımlı olması gerekir. Sosyal giriş hiç kurulmadıysa bu koşul yoktur; yine de tema ve eklentisi için yama çıktığında güncelleyin.

Yönetici parolasını değiştirmek açığı kapatır mı?

Hayır. Bu açıkta saldırgan parolayı hiç kullanmaz; NVD kaydına göre parola, iki adımlı doğrulama ve hesap sahipliği denetimi atlanır. Parola yenilemek yine iyi bir adımdır ama tek başına korumaz. Asıl önlem sosyal girişi kapatmak ve yamalı sürüm çıkınca güncellemektir.

Yamalı sürüm ne zaman çıkacak?

NVD kaydı 1.18 dahil bütün sürümleri etkilenmiş sayıyor ve 11 Kasım 2026 itibarıyla yamalı bir sürüm adı vermiyor. Temanın satış sayfasındaki son sürüm notunda da bu açığa ait bir düzeltme yazmıyor. Tema geliştiricisinin güncelleme duyurusunu izleyin; yama çıkınca tema ve eklentiyi birlikte güncelleyin.