CVE-2026-13339
Açıklama
WordPress için CubeWP Framework eklentisi, 1.1.30 ve öncesindeki tüm sürümlerde 'cubewp_get_svg_content' işlevi aracılığıyla Dizin Geçişi (Directory Traversal) zafiyetine sahiptir. Bu durum, kimlik doğrulaması yapmamış saldırganların sunucudaki hassas bilgiler içerebilecek rastgele dosyaların içeriğini okumasına olanak tanır. Bu zafiyet, kimlik doğrulaması yapmamış saldırganlar tarafından sömürülebilir çünkü gerekli nonce, AJAX yüklemesi etkinleştirilmiş CubeWP gönderileri kısa kodunu veya widget'ını işleyen herhangi bir sayfanın işaretlemesine herkese açık olarak eklenir ve bu da AJAX isteği gönderilmeden önce herhangi bir misafir ziyaretçi tarafından toplanabilir hale getirir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| cubewp1211 CubeWP Framework | v ≤ 1.1.30 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.