CVE-2021-24905
Açıklama
1.8.7 sürümünden önceki Advanced Contact form 7 DB WordPress eklentisi, acf7_db_edit_scr_file_delete AJAX işleminde yetkilendirme veya CSRF kontrollerine sahip değildir ve silinecek dosyayı doğrulamamaktadır; bu durum, kimliği doğrulanmış herhangi bir kullanıcının web sunucusundaki rastgele dosyaları silmesine olanak tanır. Örneğin, wp-config.php dosyasının kaldırılması, saldırganların WordPress kurulumunu yeniden tetiklemesine, yönetici ayrıcalıkları elde etmesine ve rastgele kod çalıştırmasına veya kullanıcılara rastgele içerik göstermesine imkan verir.
Nasıl düzeltilir
- vsourz advanced_cf7_db1.8.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vsourz advanced_cf7_db | v < 1.8.7 | 1.8.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.