CVE-2026-6446
Təsvir
WordPress üçün olan My Social Feeds – Social Feeds Embedder plagini 1.0.4 versiyadək bütün versiyalarda 'ttp_get_accounts' AJAX hərəkəti vasitəsilə Həssas Məlumatların Sızması zəifliyinə malikdir. Bu, get_accounts() funksiyasında avtorizasiya yoxlamalarının (səlahiyyət təsdiqləməsinin) və nonce yoxlamasının tamamilə olmaması səbəbindən baş verir ki, bu funksiya 'ttp_tiktok_accounts' WordPress seçiminin tam məzmununu qaytarır. Bu, Abunəçi (Subscriber) və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara administrator tərəfindən qoşulmuş TikTok hesablarına aid access_token və refresh_token dəyərləri daxil olmaqla həssas TikTok OAuth etibarnamələrini əldə etməyə imkan verir və onlara TikTok API ilə qarşılıqlı əlaqədə sayt sahibini təqlid etməyə şərait yaradır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| bplugins My Social Feeds – Social Feeds Embedder Plugin for WordPress | v ≤ 1.0.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.