CVE-2026-12094
Təsvir
WordPress üçün nəzərdə tutulmuş Advanced Contact Form 7 - Compact DB plagini, 1.0.0 daxil olmaqla daha aşağı versiyalarda cf7cdb_ajax_delete_user() funksiyasında səlahiyyət yoxlamasının olmaması səbəbindən məlumatların icazəsiz silinməsinə qarşı həssasdır. Handler həm `wp_ajax_cf7cdb_delete`, həm də `wp_ajax_nopriv_cf7cdb_delete` üçün qeydiyyatdan keçib və hücum edən tərəfindən təmin edilən tam ədədli ID ilə `wp_cf7cdb_data` cədvəlində `$wpdb->delete()` funksiyasını çağırmazdan əvvəl heç bir nonce doğrulaması, səlahiyyət yoxlaması və ya mülkiyyət yoxlaması aparmır. Bu, autentifikasiya olunmamış hücumçulara ardıcıl primar açar ID-lərini dövr etməklə plagin tərəfindən saxlanılan istənilən əlaqə forması göndərişlərini silməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| iamranit Advanced Contact Form 7 – Compact DB | v ≤ 1.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.