CVE-2026-9701
Təsvir
WordPress üçün olan Eventer plagini 4.4.2 daxil olmaqla bütün versiyalarda təhlükəsiz olmayan şifrənin sıfırlanması mexanizminə qarşı həssasdır. İstifadəçi şifrənin sıfırlanmasını tələb etdikdə, plagin şifrəni sıfırlama açarının açıq mətn nüsxəsini `eventer_verification_code` istifadəçi meta sahəsində saxlayır. `wp_usermeta` cədvəlində saxlanılan bu açıq mətn açarı, hər hansı bir istifadəçi üçün yeni şifrə təyin etmək məqsədilə plaginin xüsusi sıfırlama əməliyyatı ilə birlikdə istifadə edilə bilər. SQL Injection (CVE-2026-9700) kimi digər zəifliklərlə birləşdirildikdə, bu, autentifikasiya olunmamış hücumçulara açıq mətn sıfırlama açarını əldə etməyə və administratorlar da daxil olmaqla hər hansı istifadəçi hesabını ələ keçirməyə imkan verir. Qeyd: Şifrənin sıfırlanması funksiyası yalnız PHP 7.4 versiyasına qədər işləyir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| joe007 Eventer | v ≤ 4.4.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.