CVE-2026-9172
Təsvir
WordPress üçün Devs Accounting – Simple Accounting and Invoicing Solution plaqini 1.2.0 versiyasına qədər və o cümlədən həmin versiyada delete_single_account() funksiyasında səlahiyyət yoxlamasının olmaması səbəbindən icazəsiz məlumat dəyişdirilməsi/silinməsi zəifliyinə malikdir. 'devs-accounting/v1/delete-account/(?P<id>\d+)' REST marşrutu heç bir permission_callback olmadan qeydiyyata alınır ki, bu da WordPress-in endpoint-i ictimai, autentifikasiya olunmamış girişə açmasına səbəb olur. Bu, autentifikasiya olunmamış hücumçulara hər hansı hesab ID-si ilə endpoint-ə sadə GET sorğusu göndərməklə ixtiyari mühasibat hesabı qeydlərini (wp_dac_accounts) yumşaq silməsinə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ajitdas Devs Accounting – Simple Accounting and Invoicing Solution | v ≤ 1.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.