CVE-2026-9175
Təsvir
WordPress üçün Devs Accounting – Simple Accounting and Invoicing Solution plaqini 1.2.0 versiyası da daxil olmaqla bütün versiyalarda Avtorizasiyanın olmaması zəifliyinə malikdir. Bu, get_single_account() REST API callback-inin şərtsiz true qaytaran permission_callback ilə qeydiyyata alınması nəticəsində yaranır və /devs-accounting/v1/get-account/<id> endpointində heç bir autentifikasiya və ya avtorizasiya yoxlaması təmin etmir. Bu, autentifikasiyadan keçməmiş hücumçulara rəqəmsal hesab ID-sini sadalamaqla ixtiyari məxfi maliyyə hesabı qeydlərini (hesab adı, bank adı və açılış balansı daxil olmaqla) oxumağa imkan verir və həssas məlumatların açıqlanması ilə nəticələnir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ajitdas Devs Accounting – Simple Accounting and Invoicing Solution | v ≤ 1.2.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.