CVE-2026-12997
Təsvir
WordPress üçün Gravity Forms plaqini 2.10.4 daxil olmaqla bütün versiyalarda 'gform_uploaded_files' parametri vasitəsilə Qovluq Keçmə (Directory Traversal) zəifliyinə malikdir. Bu, autentifikasiyadan keçməmiş hücumçulara serverdəki ixtiyari faylların məzmununu oxumağa imkan verir ki, həmin fayllar həssas məlumat ehtiva edə bilər. İstismar üçün hədəf formanın girişi məcburi etməməsi (yəni ictimaiyyətə açıq olması) tələb olunur ki, bu da autentifikasiyadan keçməmiş hücumçuya process_send_resume_link son nöqtəsinə çatmağa və keçmə yolu ilə əldə edilmiş faylı bildiriş əlavəsi kimi qəbul etmək üçün ixtiyari alıcı e-poçt ünvanını təqdim etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Gravity Forms Gravity Forms | v ≤ 2.10.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.