CVE-2026-89093
Təsvir
WordPress üçün olan Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots plagini 2.15.33 versiyası daxil olmaqla bütün versiyalarda Spoofing vasitəsilə məlumat sızması (Information Exposure) zəifliyinə malikdir. Bu, `is_ai_bot_user()` funksiyasının imtiyazlı daxili AI bot hesablarını, qonaq qeydiyyatı zamanı klient tərəfindən idarə olunan `X-Real-IP` sorğu başlığından olduğu kimi götürülən və saxlanılan IP ünvanında `'ai-chat-bot-'` prefiksini yoxlayaraq müəyyən etməsi ilə bağlıdır. Bu, autentifikasiya olunmamış hücumçulara plagin tərəfindən daxili AI bot kimi qəbul edilən qonaq kimliyini yaratmağa imkan verir. Nəticədə, `user_can_join()` və `user_can_read()` funksiyalarındakı bot yoxlaması sayəsində otaq üzrə rol icazə siyahısı, qaralama statusu yoxlaması və qoşulma filtrləri dövrü yan keçilərək, inzibatçı tərəfindən məhdudlaşdırılmış çat otaqlarına qoşulmaq, orada mesajlar paylaşmaq və digər istifadəçilərin şəxsi mesaj tarixçəsini oxumaq mümkün olur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wordplus Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots | v ≤ 2.15.33 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.