CVE-2026-16779
Təsvir
WordPress üçün Kubio AI Page Builder plagini 2.8.5 versiyası daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plagin istifadəçinin hər hansı bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, kontribütor və daha yüksək səviyyəli giriş hüququ olan autentifikasiya olunmuş hücumçulara əsas səhifənin konfiqurasiya seçimlərini (show_on_front, page_on_front və page_for_posts) yenidən yazmağa, əsas naviqasiya menyusunun elementlərini dəyişdirməyə, şablon hissələrini əvəz etməyə və Kubio global-data postunu yenidən yazmağa imkan verir. Baxmayaraq ki, check_ajax_referer() vasitəsilə nonce yoxlanışı mövcuddur, nonce blok redaktorunu yükləyə bilən hər bir istifadəçi üçün şərtsiz olaraq window.kubioUtilsData-ya ötürülür, bu da onun hər hansı Kontribütor tərəfindən əldə edilə bilməsinə səbəb olur və beləliklə, effektiv səlahiyyət baryeri rolunu oynamır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| extendthemes Kubio AI Page Builder | v ≤ 2.8.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.