CVE-2026-14526
Təsvir
WordPress üçün olan AI Copilot – Content Generator plagini 1.5.6 daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plaginin istifadəçinin müəyyən bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün yoxlamamasından qaynaqlanır. Bu, autentifikasiya olunmamış hücumçulara role=administrator təyin edilmiş wp_create_user hərəkət düyünü ehtiva edən zərərli iş axınını (workflow) yadda saxlayıb icra etməklə yeni administrator səviyyəli istifadəçi hesabı yaratmağa və saytı tamamilə ələ keçirməyə imkan verir. Bu zəiflik, [aiwu-form] shortcode-u və ya ictimai çatbot ön tərəf (frontend) səhifəsində göstərilən hər hansı saytda autentifikasiya olunmamış hücumçular tərəfindən istismar edilə bilər, çünki həmin səhifələrdə waic-nonce dəyəri ictimaitəcili JavaScript-ə (WAIC_DATA.waicNonce) ötürülür və bu da nonce yoxlamasını funksional olmayan səlahiyyət baryerinə çevirir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wupsales AI Copilot – Content Generator | v ≤ 1.5.6 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.