CVE-2021-24585
Açıklama
Timetable and Event Schedule WordPress eklentisinin 2.4.0 öncesindeki sürümleri, edit_posts yetkisine sahip bir kullanıcı ile etkinlik Timeslot verileri talep edildiğinde, yanıt içerisinde Timeslot'un Etkinlik Sorumlusuyla ilgili kullanıcının Karma Şifresini (Hashed Password), Kullanıcı Adını ve E-posta Adresini (diğer daha az hassas verilerle birlikte) çıktı olarak verir. Keyfi bir kullanıcı kimliğinin ayarlanabildiği diğer Yetkisiz Etkinlik Zaman Dilimi Değiştirme sorunuyla (https://wpscan.com/reports/submissions/4699/) birleştiğinde bu durum, edit_posts yetkisine sahip düşük ayrıcalıklı kullanıcıların (yazar gibi), user_id üzerinden yineleme yaparak hassas Kullanıcı verilerini elde etmesine olanak tanıyabilir.
Nasıl düzeltilir
- motopress timetable_and_event_schedule2.4.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| motopress timetable_and_event_schedule | v < 2.4.0 | 2.4.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.