CVE-2026-2879
Açıklama
WordPress için GetGenie eklentisi, 4.3.2 dahil olmak üzere tüm sürümlerinde Güvenli Olmayan Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, `GetGenieChat` REST API uç noktasının `create()` metodundaki `id` parametresinde doğrulama eksikliğinden kaynaklanmaktadır. Metot, kullanıcı tarafından kontrol edilen bir gönderi kimliğini kabul etmekte ve bu kimliğe sahip bir gönderi mevcut olduğunda, mevcut kullanıcının gönderinin sahibi olup olmadığını veya gönderinin beklenen `getgenie_chat` türünde olup olmadığını doğrulamadan `wp_update_post()` çağrısını yapmaktadır. Bu, Author düzeyinde erişime ve üzerine sahip kimliği doğrulanmış saldırganların, Yöneticiler dahil olmak üzere herhangi bir kullanıcıya ait rastgele gönderilerin üzerine yazmasını mümkün kılmakta; `post_type` değerini `getgenie_chat` olarak değiştirerek ve `post_author` değerini saldırgana atayarak orijinal içeriği etkin biçimde yok etmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| roxnor GetGenie – AI Content Writer with Keyword Research & SEO Tracking Tools | v ≤ 4.3.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.