CVE-2026-1317
Açıklama
WordPress için geliştirilen WP Import – Ultimate CSV XML Importer for WordPress eklentisi, 7.37 sürümü dahil tüm önceki sürümlerde SQL Injection zafiyetine sahiptir. Bu durum, dosya yükleme sırasında veritabanına kaydedilen ve daha sonra uygun temizleme işlemi yapılmadan ham SQL sorgularında kullanılan `file_name` parametresinin yetersiz kaçış karakteri işleminden kaynaklanmaktadır. Bu durum, Abone seviyesinde veya daha yüksek erişime sahip kimliği doğrulanmış saldırganların, kötü amaçlı bir dosya adı aracılığıyla mevcut sorgulara ek SQL sorguları eklemesine ve böylece veritabanından hassas bilgileri çıkarmasına olanak tanır. Zafiyet, yalnızca 'Single Import/Export' seçeneği etkin olduğunda ve sunucu PHP < 8.0 sürümünü çalıştırdığında istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smackcoders WP Ultimate CSV Importer – Import CSV, XML & Excel into WordPress | v ≤ 7.37 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.