CVE-2026-16774
Təsvir
WordPress üçün Chatbot plagini 8.5.9 daxil olmaqla daha aşağı versiyalarda wpcs_send_email() AJAX handler vasitəsilə Yetkiləndirmənin Olmaması (Missing Authorization) zəifliyinə malikdir. Bu, wpcs_send_email() funksiyasının həm wp_ajax_wpcs_send_email, həm də wp_ajax_nopriv_wpcs_send_email üzrə heç bir nonce yoxlaması, səlahiyyət yoxlanışı və ya sürət məhdudiyyəti olmadan qeydiyyatdan keçirilməsi və hücumçu tərəfindən idarə olunan alıcı, mövzu və gövdə hissələrinin birbaşa wp_mail() funksiyasına ötürülməsi ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara saytın domenindən istənilən alıcıya ixtiyari e-poçtlar göndərməyə imkan verir ki, bu da spama, fişinqə və saytın IP/domeninin qara siyahıya salınmasına səbəb ola biləcək sui-istifadələrə yol açır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| quantumcloud WPBot – AI ChatBot for Live Support, Lead Generation, AI Services | v ≤ 8.5.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.