CVE-2026-15980
Açıklama
WordPress için geliştirilen MyHome Core eklentisi, 4.4.5 sürümü dahil tüm sürümlerde Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum, send_link() AJAX işleyicisindeki yetkilendirme eksikliğinden ve activate() fonksiyonundaki hatalı token doğrulamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların onaylanmamış bir kullanıcı hesabı için aktivasyon token'ı oluşturmasına ve yöneticiler de dahil olmak üzere bu hesap için geçerli bir kimlik doğrulama çerezi elde etmesine olanak tanır. Başarılı bir istismar için MyHome temasının ön uç kayıt ve onay e-postası etkinleştirilmiş şekilde eski/WPBakery modunda yapılandırılmış olması ve hedef hesabın halihazırda myhome_agent_confirmed kullanıcı metasına sahip olmaması gerekir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| TangibleWP MyHome Core | v ≤ 4.4.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.