CVE-2026-11997
Təsvir
WordPress üçün Bulk SEO Image plaqini 1.1 versiyası da daxil olmaqla Cross-Site Request Forgery (saytlararası sorğu saxtalaşdırması) zəifliyinə məruz qalır. Bu, plaqinin settings səhifəsinin idarəedicisi BulkSeoImage() funksiyasında nonce yoxlamasının olmaması və ya səhv olması səbəbindən baş verir; həmin funksiya sorğuda $_POST['bulkseoimage'] olduqda launchbulk() / BulkSeoImageGo() funksiyalarına yönləndirir. Formada heç bir wp_nonce_field() yaradılmır və hər dərc edilmiş yazıya və/və ya səhifəyə əlavə edilmiş hər bir şəkil üçün _wp_attachment_image_alt post meta məlumatının kütləvi şəkildə üzərinə yazılmazdan əvvəl heç bir check_admin_referer()/wp_verify_nonce() yoxlaması aparılmır. Bu, autentifikasiyadan keçməmiş hücumçulara sayt administratorunu linkə klikləmək kimi bir hərəkət etməyə təhrik edə bildikləri halda, saxtalaşdırılmış sorğu vasitəsilə sayt üzrə şəkillərin ALT-mətn metadatasının kütləvi şəkildə üzərinə yazılmasına imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| seo_tools Bulk SEO Image | v ≤ 1.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.