CVE-2026-14483
Təsvir
WordPress üçün Realtyna Organic IDX plugini + WPL Real Estate plugini, yükləmə funksiyası vasitəsilə 5.2.0 daxil olmaqla bütün versiyalarda ixtiyari fayl yükləmə (Arbitrary File Upload) zəifliyinə malikdir. Bu, yükləmə funksiyasında fayl növünün yoxlanılmasının olmaması və bütün quraşdırmalarda eyni olan, yalnız statik, plagin tərəfindən təyin edilmiş API etibarnamələri ilə autentifikasiya olunan, hər kəs üçün əlçatan I/O son nöqtəsinin mövcudluğu ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara icra edilə bilən faylları yükləməyə imkan verir ki, bu da uzaqdan kodun icrasını (remote code execution) mümkün edir. WPL I/O xidmət son nöqtəsi heç bir WordPress səlahiyyət yoxlaması olmadan ictimai WordPress init hook-unda qeydiyyatdan keçmişdir və tələb olunan api_key və api_secret dəyərləri plagiinin öz SQL miqrasiya faylları tərəfindən təyin edilmiş statik standartlardır; bu o deməkdir ki, bu ictimai sənədləşdirilmiş standartları bilən istənilən autentifikasiya olunmamış hücumçu zəiflik olan yükləmə yoluna çata və onu istismar edə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| realtyna Realtyna Organic IDX plugin + WPL Real Estate | v ≤ 5.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.