CVE-2026-14230
Təsvir
ECS WordPress plagininin 4.3.8 versiyasından əvvəlki versiyaları özünün Dynamic Repeater AJAX handler-ləri üzərində səlahiyyət və ya obyekt mülkiyyəti yoxlamalarını həyata keçirmir (yalnız hər hansı edit_posts istifadəçisinin Elementor redaktorundan əldə etdiyi səlahiyyətdən asılı olmayan nonce ilə qorunur), buna görə də Kontribütor (Contributor) hər hansı yazıya — o cümlədən admin tərəfindən yaradılmış səhifələrə — məlumat mənbəyi bağlamasını (data-source binding) yaza bilər. Hücumkar tərəfindən idarə olunan bu dəyərlər təmizlənmədən vidjetin repeater çıxışında render edilir və səhifəni ziyarət edən hər hansı istifadəçinin və ya administratorun sessiyasında JavaScript kodunun icrasına səbəb olur.
Necə düzəltmək olar
- ECS4.3.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ECS | v < 4.3.8 | 4.3.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.