CVE-2026-3488
Açıklama
WordPress için geliştirilen WP Statistics eklentisi, 14.16.4 sürümü dahil olmak üzere tüm sürümlerde Eksik Yetkilendirme zafiyetine sahiptir. Bu durum; `wp_statistics_get_filters`, `wp_statistics_getPrivacyStatus`, `wp_statistics_updatePrivacyStatus` ve `wp_statistics_dismiss_notices` dahil olmak üzere birden fazla AJAX işleyicisinde yetenek kontrollerinin eksik olmasından kaynaklanmaktadır. Bu uç noktalar yalnızca `check_ajax_referer()` aracılığıyla bir `wp_rest` nonce değerini doğrulamakta ancak `current_user_can()` veya eklentinin kendi `User::Access()` yöntemi gibi herhangi bir yetenek kontrolü uygulamamaktadır. `wp_rest` nonce değeri kimliği doğrulanmış tüm WordPress kullanıcıları için erişilebilir olduğundan, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların hassas analiz verilerine (kullanıcı kimlikleri, kullanıcı adları, e-postalar, ziyaretçi takip verileri) erişmesi, gizlilik denetim uyumluluk durumunu alıp değiştirmesi ve yönetici bildirimlerini kapatması mümkündür.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| veronalabs WP Statistics – Simple, privacy-friendly Google Analytics alternative | v ≤ 14.16.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.