CVE-2026-104021
Açıklama
WordPress için geliştirilen Host.it tarafından sunulan Fastcache eklentisi, 1.7.4 sürümü dahil tüm önceki sürümlerde `fastcache_settings[cache_cookie_exclude][]` parametresi üzerinden Kod Enjeksiyonuna karşı savunmasızdır. Bu durum, eklentinin `cache_cookie_exclude` ayarını bir `sanitize_callback` olmadan `register_setting()` aracılığıyla kaydetmesinden ve `buildSiteHtaccessRules()` fonksiyonunun her çerez değerine yalnızca `trim()` uygulayarak bunu doğrudan bir Apache `RewriteCond` satırına yerleştirmesinden kaynaklanmaktadır; bu normalleştirme işlemi çevreleyen boşlukları temizler ancak gömülü yeni satır karakterlerini koruyarak saldırganın yakalama grubundan çıkmasına ve rastgele direktifler eklemesine olanak tanır. Bu durum, yönetici düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, `file_put_contents()` aracılığıyla sitenin `.htaccess` dosyasına rastgele Apache direktifleri enjekte etmesini mümkün kılar ve her istekte saldırgan kontrollü PHP kodunu çalıştırmak için `php_value auto_prepend_file` ayarı gibi sunucu düzeyinde yapılandırma değişiklikleri yapılmasına yol açar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hostspa Fastcache by Host.it | v ≤ 1.7.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.