CVE-2026-15660
Təsvir
WordPress üçün SEO Booster plagini 7.4.7 daxil olmaqla daha aşağı versiyalarda Avtorizasiyanın Olmaması zəifliyinə malikdir. Bu, admin_init funksiyasına bağlanan və çağıranın rolunu yoxlamadan $_GET['access_token'] və $_GET['google_email'] parametrlərini emal edən handle_oauth_callback() funksiyasında səlahiyyət yoxlamasının olmaması ilə bağlıdır. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli giriş hüququ olan autentifikasiya olunmuş hücumçulara xüsusi hazırlanmış /wp-admin/ URL-nə daxil olmaqla seobooster_access_token, seobooster_google_email və seobooster_gsc_sites seçimlərini yenidən yazmağa və seobooster_needs_reauth bayrağını silməyə imkan verir. Nəticədə Google Search Console inteqrasiyası pozulur və cavabı saxlanılan kənar Google API sorğusunu idarə edən hücumçu tərəfindən təmin edilən token vasitəsilə sayt seçimlərinə hücumçunun seçdiyi məlumatlar yerləşdirilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| cleverplugins SEO Booster | v ≤ 7.4.7 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.