CVE-2026-15304
Təsvir
WordPress üçün olan Plugin Organizer plagini 10.2.4 daxil olmaqla daha aşağı versiyalarda 'PO_plugin_path' parametri vasitəsilə SQL Injection zəifliyinə malikdir. Bu, perform_plugin_search() funksiyasında istifadəçi tərəfindən təmin edilən parametrinin kifayət qədər filtirlənməməsi ilə bağlıdır; burada esc_sql() çıxışı preg_replace() funksiyasına əvəzləmə sətiri kimi ötürülür ki, bu da geri çəkilmə işarələrini (backslash escapes) ləğv edir və dırnaq qorumasını sıradan çıxarır; əlavə olaraq, AJAX idarəçisində həm nonce yoxlaması, həm də səlahiyyət yoxlamaları çatışmır. Bu, abunəçi səviyyəsi və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara mövcud sorğulara əlavə SQL sorğuları əlavə etməyə imkan verir ki, bu da verilənlər bazasından həssas məlumatların çıxarılması üçün istifadə edilə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| foomagoo Plugin Organizer | v ≤ 10.2.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.