CVE-2026-15155
Təsvir
WordPress üçün olan Essential Addons for Elementor – Popular Elementor Templates & Widgets plagini 6.6.10 daxil olmaqla bütün versiyalarda Email Header Injection vasitəsilə Autentifikasiya olunmuş Hesabın Ələ Keçirilməsi zəifliyinə malikdir. Bu, çıxan e-poçt başlıqlarını qurmaq üçün istifadə edilən Login/Register vidcetinin tənzimləmələrinin server tərəfində kifayət qədər yoxlanılmaması ilə bağlıdır — icazə verilən dəyərlərin məhdudiyyəti yalnız klient tərəfli redaktor interfeysində tətbiq edilir və serverdə yoxdur, həmçinin tətbiq olunan sanitarizasiya CR/LF simvollarını silmir və ya kodlaşdırmır ki, bu da həmin tənzimləmədə saxlanılan CRLF ardıcıllıqlarının xammal poçt başlıqlarına keçməsinə şərait yaradır. Bu, Kontribyutor səviyyəli və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara WordPress administratorunun şifrə sıfırlama bildirişi e-poçtuna əlavə Bcc başlığı yerləşdirməyə, etibarlı administrator şifrə sıfırlama linkinin surətini almağa və tam administrator hesabının ələ keçirilməsini təmin etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wpdevteam Essential Addons for Elementor – Popular Elementor Templates & Widgets | v ≤ 6.6.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.