CVE-2026-116617

WordPress üçün nəzərdə tutulmuş Motors – Car Dealership & Classified Listings Plugin plagininin 1.4.128 daxil olmaqla bütün versiyaları Faylların Silinməsi zəifliyinə məruzdur. Zəiflik ondan qaynaqlanır ki, `personal_options_update` funksiyasına bağlanmış `stm_save_user_extra_fields()` funksiyası, hücum edən tərəfindən idarə olunan `stm_dealer_logo_path` parametrini, göndərilən yolun istifadəçiyə aid olduğunu yoxlamadan birbaşa istifadəçi metasına yazır — `stm_payment_status` və `stm_lost_password_hash` sahələrindən fərqli olaraq, bu sahə `manage_options` və ya `edit_users` səlahiyyət yoxlaması ilə qorunmur. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara öz profilləri vasitəsilə xüsusi hazırlanmış yolu saxlamaq və sonra müəllif səhifələrindəki diler olma formasında `unlink()` funksiyasını tetikləmək yolu ilə `wp-content/uploads` qovluğunda digər istifadəçilərə məxsus şəkil fayllarını — o cümlədən digər istifadəçilərin avatarlarını, diler loqolarını və yüklənmiş medianı silməyə imkan verir. Qeyd edək ki, iki yol qoruyucusu (`stm_mvl_is_path_within_uploads` və `stm_mvl_is_allowed_image_file`) hücum sahəsini yalnız yükləmələr əsas kataloqunda yerləşən və şəkil genişlənməsinə malik olan fayllarla məhdudlaşdırır; həmin kataloqdan kənarda yerləşən `wp-config.php` və ya plagin PHP faylları kimi fayllara çatmaq mümkün deyil.