CVE-2026-27938
Təsvir
WPGraphQL WordPress saytları üçün GraphQL API təmin edir. Versiya 2.9.1-dən əvvəl, `wp-graphql/wp-graphql` repozitoriyası `run:` shell bloku daxilində `${{ github.event.pull_request.body }}` ifadəsinin birbaşa istifadəsi səbəbindən ƏMƏLİYYAT SİSTEMİ komanda inyeksiyasına qarşı həssas olan GitHub Actions iş axınına (`release.yml`) malikdir. `develop`-dan `master`-ə yönəlmiş pull request birləşdirildikdə, PR gövdəsi olduğu kimi shell komandasına inyeksiya edilir və bu da Actions runner-də ixtiyari komandaların icrasına imkan verir. Versiya 2.9.1-də bu zəiflik üçün düzəliş tətbiq edilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wp-graphql wp-graphql | < 2.9.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.