CVE-2026-4001
Açıklama
WordPress için geliştirilen Woocommerce Custom Product Addons Pro eklentisinin 5.4.1 dahil tüm önceki sürümleri, includes/process/price.php dosyasındaki process_custom_formula() fonksiyonu içerisinde yer alan özel fiyatlandırma formülü eval() aracılığıyla Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, kullanıcı tarafından gönderilen alan değerlerinin PHP'nin eval() fonksiyonuna aktarılmadan önce yetersiz şekilde temizlenmesi ve doğrulanmasından kaynaklanmaktadır. sanitize_values() yöntemi HTML etiketlerini kaldırmakta ancak tek tırnakları kaçırmamakta veya PHP kod enjeksiyonunu engellememektedir. Bu durum, kimliği doğrulanmamış saldırganların, özel fiyatlandırma formülüyle (pricingType: "custom" ile {this.value}) yapılandırılmış bir WCPA metin alanına hazırlanmış bir değer göndererek sunucu üzerinde rastgele kod çalıştırmasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| acowebs Woocommerce Custom Product Addons Pro | v ≤ 5.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.