CVE-2026-12987
Açıklama
Events Manager WordPress eklentisinin 7.3.7 öncesindeki sürümleri, No-User-Account Booking Mode kullanan sitelerde rezervasyon kayıt verilerini güvenli bir şekilde işlemez: Rezervasyon yapan kişi tarafından sağlanan bir kayıt alanı, rezervasyon meta verisi olarak saklanır ve daha sonra izin verilen sınıflar kısıtlanmadan serileştirmeden çıkarılır (deserialization), bu da PHP nesne enjeksiyonuna olanak tanır. Ortaya çıkan gadget zinciri, parametrelendirme yapılmadan oluşturulan bir veri tabanı sorgusuna ulaşır; böylece kimliği doğrulanmamış bir saldırgan, rezervasyon daha sonra yüklendiğinde rastgele veri tabanı verilerini (örneğin kullanıcı parola özetleri, gizli anahtarlar) okuyabilir.
Nasıl düzeltilir
- Events Manager7.3.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Events Manager | v < 7.3.7 | 7.3.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.