CVE-2023-1016
Açıklama
WordPress için geliştirilen Intuitive Custom Post Order eklentisi, kullanıcı tarafından sağlanan 'objects' ve 'tags' parametrelerinin yetersiz şekilde temizlenmesi ile aynı değerler üzerinde sorgular çalıştıran 'update_options' fonksiyonu ve 'refresh' fonksiyonundaki hazırlık eksikliği nedeniyle 3.1.4.1 dahil önceki sürümlerde SQL Injection zafiyetine sahiptir. Bu durum, yönetici izinlerine sahip kimliği doğrulanmış saldırganların, mevcut sorgulara ek SQL sorguları ekleyerek veritabanından hassas bilgileri çıkarmasına olanak tanır. Bu saldırının yalnızca, veritabanının GBK gibi standart dışı bir karakter seti kullanması nedeniyle addslashes işlevinin atlatılmasının mümkün olduğu yapılandırmalarda uygulanabilir olabileceği unutulmamalıdır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hijiriworld intuitive_custom_post_order | v ≤ 3.1.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.