CVE-2026-15985
Təsvir
WordPress üçün nəzərdə tutulmuş Classified Listing - Mobile Number Verification plagini 1.6.0 daxil olmaqla bütün versiyalarda Autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, process_otp_login() funksiyasında server tərəfli Firebase OTP təsdiqinin olmaması ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara Firebase OTP giriş axını vasitəsilə ixtiyari OTP kodu və UID göndərərək, plagininc telefon cədvəlində qeydiyyatdan keçmiş hər hansı bir istifadəçi kimi autentifikasiya olunmağa imkan verir. Uğurlu istismarı üçün OTP girişinin aktiv olması, təsdiq şlüzü kimi Firebase-in seçilməsi və hücumçunun hədəf hesabın qeydiyyatdan keçmiş telefon nömrəsini bilməsi və ya təxmin etməsi tələb olunur. Əgər administrator hesabının plaginə qeydiyyatdan keçmiş telefon nömrəsi varsa, administrator hesabının ələ keçirilməsi mümkündür.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| RadiusTheme Classified Listing - Mobile Number Verification | v ≤ 1.6.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.