CVE-2026-2471

WordPress üçün WP Mail Logging plagini, e-poçt loq mesajı sahəsindən gələn etibarsız girişin deserializasiyası vasitəsilə 1.15.0 daxil olmaqla bütün versiyalarda PHP Object Injection zəifliyinə malikdir. Bu, `BaseModel` sinfinin konstruktorunun verilənlər bazasından əldə edilən bütün xüsusiyyətlər üzərində təsdiqləmə aparmadan `maybe_unserialize()` funksiyasını çağırması səbəbindən baş verir. Bu, autentifikasiya olunmamış hücumçulara e-poçt göndərən hər hansı bir açıq forma (məsələn, Contact Form 7) vasitəsilə ikiqat serializasiya edilmiş fayl (payload) göndərməklə PHP obyektinin inyeksiya edilməsini mümkün edir. E-poçt loqlaşdırıldıqda və sonradan administrator tərəfindən görüntüləndikdə, zərərli fayl ixtiyari PHP obyektinə deserializasiya edilir. Zəiflik olan proqram təminatında məlum POP zənciri mövcud deyil, bu isə o deməkdir ki, saytda POP zənciri olan digər plagin və ya mövzu quraşdırılmadıqca bu zəifliyin heç bir təsiri yoxdur. Hədəf sistemdə quraşdırılmış əlavə plagin və ya mövzu vasitəsilə POP zənciri mövcuddursa, bu, hücumçuya mövcud POP zəncirindən asılı olaraq ixtiyari faylların silinməsi, həssas məlumatların əldə edilməsi və ya kodun icrası kimi hərəkətləri yerinə yetirməyə imkan verə bilər.