CVE-2026-12240
Açıklama
WordPress için geliştirilen Export User Data eklentisinin 2.2.6 sürümü dahil tüm önceki sürümleri, unserialize fonksiyonundaki yetersiz dosya yolu doğrulaması nedeniyle keyfi dosya silme zafiyetine sahiptir. Bu durum, abone düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların sunucudaki keyfi dosyaları silmesini mümkün kılar; bu da doğru dosyanın (wp-config.php gibi) silinmesi durumunda kolayca uzaktan kod çalıştırmaya yol açabilir. İstismarın başarılı olması için, abone düzeyindeki (veya daha yüksek) bir kullanıcının görüntüleme adı olarak özel olarak hazırlanmış serileştirilmiş bir XLSXWriter nesnesi yükü kaydetmiş olması ve ardından bir yöneticinin kullanıcı veri dışa aktarma işlemini tetiklemesi gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| qlstudio Export User Data | v ≤ 2.2.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.