CVE-2026-17609
Təsvir
WordPress üçün nəzərdə tutulmuş Super Forms – Drag & Drop Form Builder plagini 6.3.316 daxil olmaqla bütün versiyalarda submit_form funksiyası vasitəsilə ixtiyari kataloqların silinməsi zəifliyinə malikdir. Bu, hücum edən tərəfindən idarə olunan JSON sahə bəyanatlarının faktiki forma sxeminə qarşı kifayət qədər yoxlanılmaması və dirname() funksiyasının sonuncu slash işarəsini silərək asanlıqla yan keçdiyi effektiv olmayan ABSPATH mühafizəsi ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara serverdə, o cümlədən WordPress kök kataloqu daxil olmaqla, ixtiyari kataloqları rekursiv şəkildə silməyə imkan verir. Zəifliyin istismarı üçün administrator tərəfindən 'Delete files from server after form submissions' parametrinin aktiv edilmiş olması tələb olunur, lakin bu sənədləşdirilmiş və geniş yayılmış bir xüsusiyyətdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| WebRehab Super Forms – Drag & Drop Form Builder | v ≤ 6.3.316 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.