CVE-2022-3384
Açıklama
WordPress için geliştirilen Ultimate Member eklentisinin 2.5.0 ve önceki sürümleri, kullanıcı tarafından sağlanan girdiyi kabul eden ve bunu call_user_func() üzerinden ileten populate_dropdown_options fonksiyonu aracılığıyla Uzaktan Kod Çalıştırma zafiyetine sahiptir. Kullanıcı tarafından sağlanan parametreler fonksiyon üzerinden iletilmediği için bu durum, phpinfo(); gibi parametresiz PHP fonksiyonları ile sınırlandırılmıştır. Bu durum, yönetici ayrıcalıklarına sahip kimliği doğrulanmış saldırganların sunucu üzerinde kod çalıştırmasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ultimatemember ultimate_member | v ≤ 2.5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.