CVE-2025-13085
Açıklama
WordPress için geliştirilen SiteSEO – SEO Simplified eklentisi, 1.3.2 sürümü dahil önceki sürümlerde Hassas Yazı Meta Verilerinin İfşasına yol açan Hatalı Yetkilendirme zafiyetine sahiptir. Bu durum, resolve_variables() AJAX işleyicisindeki nesne düzeyinde yetkilendirme kontrollerinin eksikliğinden kaynaklanmaktadır. Bu durum, siteseo_manage yetkisine sahip kimliği doğrulanmış saldırganların (örneğin, bir yönetici tarafından SiteSEO erişimi verilmiş Yazar düzeyindeki kullanıcılar), özel alan değişken çözümleme özelliği aracılığıyla düzenleme yetkileri olmayan herhangi bir yazıdan, sayfadan, ekten veya WooCommerce siparişinden rastgele yazı meta verilerini okumalarını mümkün kılmaktadır; bunun için yöneticiden SiteSEO erişimi almış olmaları ve eski depolamanın (legacy storage) etkinleştirilmiş olması gerekmektedir. Etkilenen WooCommerce kurulumlarında bu durum; isimler, e-posta adresleri, telefon numaraları, fiziksel adresler ve ödeme yöntemleri dahil olmak üzere hassas müşteri fatura bilgilerini ifşa etmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| softaculous SiteSEO – SEO Simplified | v ≤ 1.3.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.