CVE-2021-42359
Açıklama
WP DSGVO Tools (GDPR) <= 3.1.23 sürümünde bulunan 'admin-dismiss-unsubscribe' adlı AJAX eylemi; yetenek kontrolü ve nonce kontrolünden yoksundu, kimliği doğrulanmamış kullanıcılar tarafından erişilebiliyordu ve abonelikten çıkma isteklerini silerken yazı türünü kontrol etmiyordu. Bu nedenle bir saldırganın, "action" parametresi "admin-dismiss-unsubscribe" olarak ve "id" parametresi silinecek yazıya ayarlanmış bir AJAX isteği göndererek sitedeki herhangi bir yazıyı veya sayfayı kalıcı olarak silmesi mümkündü. Böyle bir isteğin gönderilmesi yazıyı çöpe taşıyacak, isteğin tekrarlanması ise söz konusu yazıyı kalıcı olarak silecekti.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| legalweb wp_dsgvo_tools | v ≤ 3.1.23 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.