CVE-2025-14509
Təsvir
WordPress üçün olan Lucky Wheel for WooCommerce – Spin a Sale plagini 1.1.13 versiyası daxil olmaqla bütün versiyalarda PHP Code Injection zəifliyinə malikdir. Bu, plaginin 'Conditional Tags' parametridən gələn istifadəçi girişini lazımi yoxlama və ya təmizləmə aparmadan icra etmək üçün eval() funksiyasından istifadə etməsi ilə bağlıdır. Bu, Administrator səviyyəsində və daha yüksək girişi olan autentifikasiya olunmuş hücumçulara serverdə ixtiyari PHP kodunun icrasını mümkün edir. WordPress multisite quraşdırmalarında bu, Sayt Administratorlarına ixtiyari kodun icrasına şərait yaradır; halbuki multisite mühitlərində Super Admin olmayanlar üçün plagin/tema fayllarının redaktə edilməsi deaktiv edildiyi üçün onlar bu imkana malik olmamalıdırlar.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| villatheme Lucky Wheel for WooCommerce – Spin a Sale | v ≤ 1.1.13 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.