CVE-2026-13450
Təsvir
WordPress üçün GamiPress – Gamification pluginində (points, achievements, badges & ranks mükafatlandırması üçün) 7.9.4 versiyası daxil olmaqla bütün versiyalar 'access' parametri vasitəsilə Təhlükəsiz Olmayan Birbaşa Obyekt İstinadı (Insecure Direct Object Reference) zəifliyinə malikdir; səbəb istifadəçi tərəfindən idarə olunan açar üzərində validasiyanın olmamasıdır. Bu, autentifikasiyadan keçməmiş hücumçulara istənilən istifadəçiyə aid şəxsi GamiPress fəaliyyət jurnalı qeydlərinə, o cümlədən nişan qazanmalarına, bal balansı dəyişikliklərinə və WooCommerce, LearnDash və BuddyPress kimi inteqrasiya olunmuş pluginlərdən gələn hadisə qeydlərinə baxmaq imkanı verir. Bu, istənilən autentifikasiyadan keçməmiş ziyarətçi tərəfindən istismar edilə bilər, çünki tələb olunan 'gamipress' nonce dəyəri wp_enqueue_scripts qarmağında wp_localize_script vasitəsilə bütün front-end istifadəçilərinə yayımlanır və bununla da yeganə autentifikasiya maneəsi asanlıqla yan keçilə bilən hala gəlir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| rubengc GamiPress – Gamification plugin to reward points, achievements, badges & ranks in WordPress | v ≤ 7.9.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.