CVE-2026-15407
Açıklama
WordPress için geliştirilen Themify Builder eklentisi, 7.7.7 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum; abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, diğer kullanıcılara ait özel ve taslak yazılar da dahil olmak üzere rastgele yazıların oluşturulmuş CSS stil dosyalarını üzerine yazmasına veya silmesine ve eklenti kapsamındaki yazı tipi seçeneklerini değiştirmesine olanak tanır. Gerekli CSRF nonce değeri (tf_nonce), genel ön uç derleyici sayfalarında wp_localize_script aracılığıyla yayınlandığından, bu sayfayı ziyaret eden herhangi bir kimliği doğrulanmış kullanıcı tarafından kolayca elde edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| themifyme Themify Builder | v ≤ 7.7.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.