CVE-2025-14339
Təsvir
WordPress üçün nəzərdə tutulmuş weMail - Email Marketing, Lead Generation, Optin Forms, Email Newsletters, A/B Testing, and Automation plagini 2.0.7 versiyası daxil olmaqla bütün versiyalarda formaların icazəsiz silinməsi zəifliyinə malikdir. Bu, `Forms::permission()` geri çağırış funksiyasının istifadəçi səlahiyyətlərini yoxlamadan yalnız `X-WP-Nonce` başlığını təsdiqləməsi ilə bağlıdır. REST nonce dəyəri weMail formaları olan səhifələrdəki `weMail` JavaScript obyekti vasitəsilə autentifikasiya olunmamış ziyarətçilərə açıq olduğu üçün, hər hansı autentifikasiya olunmamış istifadəçi nonce dəyərini səhifənin mənbədindən çıxarıb formalar son nöqtəsinə (endpoint) DELETE sorğusu göndərməklə bütün weMail formalarını qalıcı olaraq silə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wedevs weMail: Email Marketing, Email Automation, Newsletters, Subscribers & Email Optins for WooCommerce | v ≤ 2.0.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.