CVE-2026-104021
Təsvir
WordPress üçün nəzərdə tutulmuş Host.it tərəfindən hazırlanmış Fastcache plagini, 1.7.4 daxil olmaqla bütün versiyalarda `fastcache_settings[cache_cookie_exclude][]` parametri vasitəsilə Kod İnyeksiyasına (Code Injection) qarşı həssasdır. Bu, plaginin `cache_cookie_exclude` parametrinə `register_setting()` vasitəsilə `sanitize_callback` olmadan qeydiyyatdan keçirməsi və eyni zamanda `buildSiteHtaccessRules()` funksiyasının hər bir kuki dəyərini Apache `RewriteCond` sətrinə birbaşa yerləşdirməzdən əvvəl yalnız `trim()` tətbiq etməsi ilə bağlıdır. Bu normallaşdırma prosesi ətrafdakı boşluqları silir, lakin daxili yeni sətirləri saxlayır ki, bu da hücumçuya tutma qrupundan çıxaraq ixtiyari direktivlər əlavə etməyə imkan verir. Bu, administrator və daha yuxarı səviyyəli girişə malik autentifikasiya olunmuş hücumçulara `file_put_contents()` vasitəsilə saytın `.htaccess` faylına ixtiyari Apache direktivləri inyeksiya etməsinə şərait yaradır və hər sorğu zamanı hücumçunun idarə etdiyi PHP kodunu icra etmək üçün `php_value auto_prepend_file` kimi server səviyyəli konfiqurasiya dəyişikliklərini etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hostspa Fastcache by Host.it | v ≤ 1.7.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.