CVE-2026-116617

WordPress için geliştirilen Motors – Car Dealership & Classified Listings Plugin eklentisinin 1.4.128 dahil tüm sürümleri Dosya Silme zafiyetine sahiptir. Zafiyet, `personal_options_update` olayına bağlı olan `stm_save_user_extra_fields()` fonksiyonunun, saldırgan tarafından kontrol edilen `stm_dealer_logo_path` parametresini, gönderilen yolun gönderen kullanıcıyla bağını kuran bir sahiplik kontrolü yapmaksızın doğrudan kullanıcı metasına yazmasından kaynaklanmaktadır; `stm_payment_status` ve `stm_lost_password_hash` alanlarının aksine, bu alan `manage_options` veya `edit_users` yetenek kontrolleriyle sınırlandırılmamıştır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, kendi profilleri üzerinden özel olarak hazırlanmış bir yolu kaydedip ardından yazar sayfalarındaki bayi olma formu aracılığıyla `unlink()` fonksiyonunu tetikleyerek, `wp-content/uploads` altında bulunan diğer kullanıcılara ait avatar, bayi logoları ve yüklenen medyalar dahil olmak üzere görüntü dosyalarını silmelerini mümkün kılmaktadır. İki yol korumasının (`stm_mvl_is_path_within_uploads` ve `stm_mvl_is_allowed_image_file`), saldırı yüzeyini yalnızca uploads temel dizini içinde çözümlenen ve görüntü uzantısına sahip dosyalarla sınırladığına dikkat edilmelidir; `wp-config.php` veya eklenti PHP dosyaları gibi bu dizinin dışındaki dosyalara erişilemez.