CVE-2026-27938
Açıklama
WPGraphQL, WordPress siteleri için bir GraphQL API sağlar. Versiyon 2.9.1 öncesinde, `wp-graphql/wp-graphql` deposu, bir `run:` kabuk bloğu içerisinde `${{ github.event.pull_request.body }}` ifadesinin doğrudan kullanılması nedeniyle OS komut enjeksiyonuna karşı savunmasız bir GitHub Actions iş akışı (`release.yml`) içermektedir. `develop` dalından `master` dalına yapılan bir çekme isteği (pull request) birleştirildiğinde, PR gövdesi bir kabuk komutuna olduğu gibi enjekte edilerek Actions çalıştırıcısı üzerinde rastgele komut yürütülmesine olanak tanır. Versiyon 2.9.1, bu güvenlik açığı için bir düzeltme içerir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wp-graphql wp-graphql | < 2.9.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.