CVE-2026-12418
Təsvir
WordPress üçün olan The User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration plagini, istifadəçi tərəfindən idarə olunan açarda validasiyanın olmaması səbəbindən 'wpuf_files_data' parametri vasitəsilə 4.3.7 daxil olmaqla bütün versiyalarda Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara saytdakı hər hansı ixtiyari yazının, o cümlədən administratorlar tərəfindən yazılmış yazıların post_title, post_content və post_excerpt sahələrini yenidən yazmağa imkan verir. Zəifliyin istismarı üçün hər hansı bir WPUF yazı göndərmə formasına giriş tələb olunur; bu, heç bir WordPress rolu olmayan istifadəçilər tərəfindən də həyata keçirilə bilər, çünki wpuf_submit_post AJAX əməliyyatı yalnız nonce ilə qorunur və sonrakı yazı redaktə əməliyyatı üçün heç bir səlahiyyət yoxlaması aparılmır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wedevs User Frontend: AI Powered Frontend Posting, User Directory, Profile Builder, Membership & User Registration | v ≤ 4.3.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.