CVE-2026-110019
Açıklama
WordPress için Bulk Page Generator – LPagery eklentisi, 3.1.0 dahil önceki tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların, normalde yalnızca yöneticilere kısıtlanmış olan LPagery tarafından yönetilen WordPress sayfalarını ve toplu sayfa oluşturma süreçlerini oluşturmasına, değiştirmesine ve silmesine olanak tanır. Freemius'un seçilmediği varsayılan yeni kurulumlarda, Bearer belirteçlerini doğrulamak için kullanılan AES-256-CBC anahtarı, boş bir dizenin herkese açık olarak bilinen SHA-256 özetine dönüşerek belirtecin herhangi bir kimliği doğrulanmış kullanıcı tarafından tamamen taklit edilebilmesine yol açar.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| niklaslindemann Bulk Page Generator – LPagery | v ≤ 3.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.