CVE-2026-102291
Təsvir
WordPress üçün olan The Kirki – Freeform Page Builder, Website Builder & Customizer plagini 6.3.1 daxil olmaqla bütün versiyalarda ixtiyari shortcode icrasına qarşı həssasdır. Bu, plaginin istifadəçinin `display_name` dəyərini filtrasiya etmədən səhifə nişanlamasına əlavə etməsi və daha sonra `TheFrontend::replace_content()` funksiyasında bütün nəticəni `do_shortcode()` vasitəsilə işlətməsi ilə bağlıdır. `display_name` sahəsi hər bir istifadəçi tərəfindən öz profil forması vasitəsilə redaktə edilə bildiyi üçün, bu, Abunəçi (Subscriber) və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara ixtiyari shortcod-ları icra etməyə imkan verir. Səhifə istifadəçilərin kolleksiyası (məsələn, adi komanda və ya üzvlük kataloqu səhifəsi) olduqda, shortcode autentifikasiya olunmamışlar da daxil olmaqla hər bir ziyarətçinin sorğusunda işləyir. Dinamik məzmunu `display_name` istifadəçi sahəsinə bağlanmış Kirki elementi olan dərc edilmiş səhifə tələb olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| themeum Kirki – Freeform Page Builder, Website Builder & Customizer | v ≤ 6.3.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.