CVE-2026-92097
Təsvir
WordPress üçün olan Click to Chat for WhatsApp plagini 4.44 daxil olmaqla daha aşağı versiyalarda Arbitrary Shortcode Execution zəifliyinə malikdir. Bu, arxiv səhifələrində greetings_dialog() funksiyasının {url} şablon yer tutucusunu sanitize_text_field() ilə filtrlənmiş $_SERVER['REQUEST_URI'] əsasında qurması və sonra əvəzlənmiş salamlaşma məzmununu shortcode ayırıcısını təmizləmədən greetings-1 və greetings-2 şablonlarında do_shortcode() funksiyasına ötürməsi səbəbindən baş verir. wp_kses() funksiyası main_content üzərində {url} əvəzetməsindən ƏVVƏL işlədiyi üçün hücumçu tərəfindən idarə olunan URL baytları do_shortcode() funksiyasına filtrsiz çatır. Bu, autentifikasiya olunmamış hücumçulara WordPress nüvəsi, aktiv mövzu və ya hər hansı digər plagin tərəfindən qeydiyyata alınmış ixtiyari shortcode-ları icra etməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| holithemes Click to Chat – HoliThemes | v ≤ 4.44 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.