CVE-2025-12469
Açıklama
WordPress için geliştirilen FunnelKit Automations – Email Marketing Automation and CRM for WordPress & WooCommerce eklentisinin 3.6.4.1 dahil önceki tüm sürümleri Yetkilendirme Eksikliği zafiyetine sahiptir. Bu durum, eklentinin `bwfan_test_email` AJAX işleyicisinde bir kullanıcının idari işlemler gerçekleştirme yetkisine sahip olduğunu düzgün şekilde doğrulamamasından kaynaklanmaktadır. Doğrulama için kullanılan nonce, ön uç JavaScript yerelleştirmesi aracılığıyla tüm ziyaretçilere (kimlik doğrulaması yapmamış kullanıcılar dahil) açıkça sunulmaktadır ve `check_nonce()` fonksiyonu bu nonce'a sahip düşük yetkili kimlik doğrulanmış kullanıcıları kabul etmektedir. Bu durum, Abone seviyesi ve üzeri erişime sahip kimlik doğrulanmış saldırganların, site üzerinden saldırgan tarafından kontrol edilen konu ve gövde içeriğiyle rastgele e-postalar göndermesini mümkün kılmaktadır.
Nasıl düzeltilir
- funnelkit funnelkit_automations3.6.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| funnelkit funnelkit_automations | v < 3.6.4.2 | 3.6.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.