CVE-2026-12923
Açıklama
WordPress için Youtube Showcase eklentisi, 4.0.3 ve önceki sürümlerde Keyfi Fonksiyon Çağırma (Arbitrary Function Call) zafiyetine sahiptir. Bu durum, includes/common-functions.php dosyasındaki emd_delete_file() AJAX işleyicisinde bulunan 'path' parametresinin yetersiz doğrulanmasından kaynaklanmaktadır. Kullanıcı tarafından sağlanan değer sanitize_text_field() işleminden geçirilir, sonundaki '_PLUGIN_DIR' alt dizgesi kaldırılır ve ardından `$sess_name()` aracılığıyla herhangi bir argüman olmaksızın bir PHP fonksiyon adı olarak çağrılır. İşleyici yalnızca bir nonce ile korunmaktadır — herhangi bir current_user_can() kontrolü mevcut değildir — ve nonce, dosya alanları içeren bir form kısa kodu (shortcode) oluşturan tüm ön yüz sayfalarında yayınlanır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, keyfi sıfır argümanlı PHP fonksiyonlarını (phpinfo, phpversion, get_defined_vars, error_get_last gibi) çağırmasını mümkün kılarak hassas bilgi ifşasına ve ortamda mevcut olan fonksiyonlara bağlı olarak potansiyel daha ileri düzey ihlallere yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| emarket-design Video Gallery – YouTube Gallery, Playlist & Video Grid | v ≤ 4.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.