CVE-2026-3523
Açıklama
WordPress için Apocalypse Meow eklentisi, 22.1.0 ve öncesindeki tüm sürümlerde 'type' parametresi aracılığıyla SQL enjeksiyonuna karşı savunmasızdır. Bunun nedeni, ajax.php dosyasının 261. satırındaki tür doğrulama kontrolünde hatalı bir mantıksal operatör kullanılmasıdır — koşul `||` (OR) yerine `&&` (AND) kullanır, bu da `in_array()` doğrulamasının kısa devre yapmasına ve boş olmayan hiçbir type değeri için hiç değerlendirilmemesine neden olur. Buna ek olarak, 101. satırda `stripslashes_deep()` çağrılması `wp_magic_quotes()` korumasını kaldırdığından, saldırgan tarafından kontrol edilen tek tırnak işaretleri kaçış karakteri eklenmeden 298. satırdaki SQL sorgusuna geçer. Bu, Administrator düzeyinde ve üzeri erişime sahip kimliği doğrulanmış saldırganların mevcut sorgulara ek SQL sorguları eklemesini mümkün kılar ve bu sorgular veritabanından hassas bilgilerin çıkarılması için kullanılabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| blobfolio Apocalypse Meow | v ≤ 22.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.