CVE-2026-22850

Koko Analytics, WordPress üçün açıq mənbəli analitika plaginidir. 2.1.3 versiyasından əvvəlki versiyalar, düzgün təmizlənməmiş (unescaped) analitika ixracı/idxalı və icazəverici admin SQL idxalı vasitəsilə ixtiyari SQL icrasına qarşı həssasdır. Autentifikasiya olunmamış ziyarətçilər src/Resources/functions/collect.php faylındakı ictimai izləmə nöqtəsinə ixtiyari yol (`pa`) və yönləndirici (`r`) dəyərləri göndərə bilər ki, bu sətirlər analitika cədvəllərində olduğu kimi saxlanılır. src/Admin/Data_Export.php faylındakı admin ixrac məntiqi bu saxlanılan dəyərləri heç bir təmizləmə aparmadan birbaşa SQL INSERT ifadələrinə yazır. Məsələn, "),('999','x');DROP TABLE wp_users;--" kimi hazırlanmış bir yol dəyəri siyahısından çıxmağa imkan verir. Administrator daha sonra həmin ixrac faylını idxal etdikdə, src/Admin/Data_Import.php faylındakı idxal idarəedicisi yüklənmiş SQL-i file_get_contents ilə oxuyur, yalnız səthi başlıq yoxlaması aparır, nöqtəli vergüllər üzrə bölür və hər bir ifadəni cədvəl adlarının və ya ifadə növlərinin təsdiqi olmadan $wpdb->query vasitəsilə icra edir. Əlavə olaraq, manage_koko_analytics hüququna malik olan istənilən autentifikasiya olunmuş istifadəçi ixtiyari .sql faylını yükləyib eyni icazəverici şəkildə icra etdirə bilər. Birləşdirildikdə, hücumçu tərəfindən idarə olunan giriş məlumatları izləmə nöqtəsindən ixrac edilmiş SQL-ə və idxal icra mərhələsinə, yaxud birbaşa zərərli yükləmələr vasitəsilə ötürülərək ixtiyari SQL icrasını mümkün edir. Ən pis ssenaridə, hücumçular WordPress verilənlər bazasında ixtiyari SQL icrasını həyata keçirə bilər ki, bu da əsas cədvəllərin silinməsinə (məsələn, wp_users), arxa qapı (backdoor) administrator hesablarının əlavə edilməsinə və ya digər dağıdıcı/imtiyazların yüksəldilməsi hərəkətlərinə şərait yaradır. 2.1.3 versiyası bu problemi aradan qaldırır.