CVE-2026-12949
Açıklama
WordPress için geliştirilen Wishlist Member eklentisi, 3.34.1 dahil önceki sürümlerde Veri Özgünlüğünün Yetersiz Doğrulanması nedeniyle Hesap Ele Geçirme (Account Takeover) zafiyetine sahiptir. Bu durum, wpm_register() fonksiyonunun kayıt çerezini yalnızca GET reg parametresine göre doğrulaması; ancak POST mergewith ve POST wpm_id parametrelerini, mergewith kullanıcı kimliğinin mevcut kayıt işlemiyle bağlantılı geçici veya eksik bir kayıtçıya referans verdiğini doğrulamadan kabul etmesinden kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, mergewith değeri olarak rastgele bir kullanıcının sayısal kimliğini sağlayarak herhangi bir mevcut WordPress hesabını —yönetici hesapları dahil— ele geçirmesini mümkün kılar; bu işlem wp_update_user() fonksiyonunun hedef hesabın kullanıcı adını (ek olarak doğrudan $wpdb UPDATE aracılığıyla yazılır), parolasını, e-posta adresini, adını ve soyadını saldırgan tarafından kontrol edilen değerlerle üzerine yazmasına neden olurken, WordPress parola ve e-posta değişikliği bildirim e-postaları açıkça engellenir. wpm_id mevcut olmayan bir üyelik seviyesine referans verdiğinde, güncelleme yüküne herhangi bir rol anahtarı eklenmez ve bu da wp_update_user() fonksiyonunun hedef kullanıcının mevcut rolünü —yönetici dahil— korumasına yol açarak tam yetki yükseltmeyi hesap ele geçirme işleminin doğrudan bir sonucu haline getirir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Wishlist Member Wishlist Member | v ≤ 3.34.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.