CVE-2026-3552
Açıklama
WordPress için geliştirilen SurfLink - Ultimate Link Manager eklentisi, 2.6.0 sürümüne kadar olan tüm versiyonlarda ajax_import_410() fonksiyonundaki yetki kontrolü eksikliği nedeniyle yetkisiz veri değişikliğine karşı savunmasızdır. Bu durum, aynı sınıftaki diğer tüm AJAX işleyicileri (ajax_add_single_410, ajax_save_editted_410, ajax_delete_410, ajax_bulk_410_delete, ajax_empty_410, ajax_export_410) hem yetkilendirme hem de nonce kontrollerini düzgün bir şekilde uygularken, ajax_import_410() fonksiyonunda yetki kontrolünün (current_user_can()) ve nonce doğrulamasının (check_ajax_referer()) eksik olmasından kaynaklanmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, surfl_import_410 AJAX işlemi aracılığıyla 410 Gone veritabanı tablosuna rastgele URL'ler aktarmasını mümkün kılmaktadır. Enjekte edilen URL'ler, bu yollara erişen tüm ziyaretçilere sitenin HTTP 410 Gone yanıtları döndürmesine neden olarak meşru sayfalar için potansiyel hizmet reddine ve arama motorlarından kaldırılma yoluyla SEO kaybına yol açabilir.
Nasıl düzeltilir
- surflabtech SurfLink – Link Manager & Backup Restore2.6.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| surflabtech SurfLink – Link Manager & Backup Restore | v < 2.6.0 | 2.6.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.