CVE-2025-7695
Açıklama
WordPress için Dataverse Integration eklentisi, 2.77 ile 2.81 arasındaki sürümlerde, reset_password_link REST uç noktasındaki yetkilendirme kontrollerinin eksikliği nedeniyle Yetki Yükseltme zafiyetine sahiptir. Uç noktanın işleyicisi; istemci tarafından sağlanan id, email veya login bilgisini kabul eder, ilgili kullanıcıyı bulur ve koşulsuz olarak get_password_reset_key() fonksiyonunu çağırır. Sadece çağıran kişinin kimliğinin doğrulanmış olduğunu kontrol ettiği, ancak hedef hesabın sahibi olup olmadığını veya düzenleme yetkisine sahip olup olmadığını denetlemediği için, Abone seviyesi ve üzeri erişime sahip herhangi bir kimliği doğrulanmış saldırgan, bir yönetici için şifre sıfırlama bağlantısı elde edebilir ve bu hesabı ele geçirebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| alexacrm Dataverse Integration | 2.77 ≤ v ≤ 2.81 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.