CVE-2025-3671
Açıklama
WordPress için WPGYM - Wordpress Gym Management System eklentisi, 'page' parametresi aracılığıyla 67.7.0 sürümü dahil olmak üzere tüm sürümlerde Yerel Dosya Dahil Etme (Local File Inclusion) zafiyetine sahiptir. Bu durum, Abone (Subscriber) düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların sunucuda rastgele dosyaları dahil etmesine ve çalıştırmasına olanak tanıyarak bu dosyalardaki herhangi bir PHP kodunun çalıştırılmasına imkan verir. Bu zafiyet, erişim kontrollerini atlatmak, hassas verileri elde etmek veya görseller ve diğer "güvenli" dosya türlerinin yüklenip dahil edilebildiği durumlarda kod çalıştırmak için kullanılabilir. Yerel Dosya Dahil Etme istismarı, eklentideki çeşitli kontrol paneli görünüm dosyalarını dahil etmek üzere zincirlenebilir. Araştırmacı tarafından bildirilen özel bir tanesi, Çoklu Site (Multisite) ortamlarında Süper Yönetici hesaplarının parolasını güncellemek için kullanılabilir ve bu da yetki yükseltmeyi mümkün kılar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| dasinfomedia WPGYM - Wordpress Gym Management System | v ≤ 67.7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.