CVE-2026-12418
Açıklama
WordPress için geliştirilen User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration eklentisinin 4.3.7 dahil tüm sürümleri, kullanıcı kontrollü bir anahtar üzerindeki doğrulama eksikliği nedeniyle 'wpuf_files_data' parametresi üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, kimlik doğrulaması yapmamış saldırganların, yöneticiler tarafından oluşturulanlar da dahil olmak üzere sitedeki herhangi bir rastgele yazının post_title, post_content ve post_excerpt alanlarını üzerine yazmasını mümkün kılar. İstismar işlemi, herhangi bir WPUF yazı gönderim formuna erişim gerektirir; wpuf_submit_post AJAX işleminin yalnızca bir nonce ile korunduğu ve alt yazı düzenleme işlemi için herhangi bir yetki kontrolünün yapılmadığı durumlarda, bu işlem hiçbir WordPress rolüne sahip olmayan kullanıcılar tarafından gerçekleştirilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wedevs User Frontend: AI Powered Frontend Posting, User Directory, Profile Builder, Membership & User Registration | v ≤ 4.3.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.