CVE-2026-9187
Təsvir
WordPress üçün Abandoned Contact Form 7 plaqini 2.2 versiyasına qədər və o cümlədən icazəsiz ixtiyari yazıların silinməsinə həssasdır. Bu, action__remove_abandoned() funksiyasında imkanların yoxlanılmasının olmaması və nonce validasiyasının olmaması səbəbindən baş verir; həmin funksiya həm wp_ajax_remove_abandoned, həm də wp_ajax_nopriv_remove_abandoned qarmaqlarına qeydiyyatdan keçib. İşləyici $_POST-dan istifadəçi tərəfindən təqdim edilən recover_id parametrini götürür və onu birbaşa wp_delete_post() funksiyasına ötürür, force-delete bayrağı true olaraq təyin edilib, ID-nin plaqinin öz cf7af_data yazı tipinə aid olduğunu yoxlamadan. Bu, autentifikasiyadan keçməmiş hücumçulara təsirlənmiş saytda ixtiyari yazıları, səhifələri və ya digər məzmunu birdəfəlik silməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| zealopensource Abandoned Contact Form 7 | v ≤ 2.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.