CVE-2026-4117
Açıklama
WordPress için geliştirilen CalJ eklentisi, 1.5 sürümü dahil tüm önceki sürümlerde Eksik Yetkilendirme zafiyetine sahiptir. Bu durum, CalJSettingsPage sınıf yapılandırıcısındaki eksik yetenek kontrolünden kaynaklanmaktadır; söz konusu yapılandırıcı, istek yapan kullanıcının 'manage_options' yetkisine sahip olduğunu doğrulamadan ve herhangi bir nonce doğrulaması yapmadan, 'save-obtained-key' işlemini doğrudan POST verilerinden işlemektedir. Eklenti önyükleme dosyası (calj.php), is_admin() fonksiyonu true döndürdüğünde (wp-admin URL'lerine, admin-ajax.php dahil, istek gönderen tüm kimliği doğrulanmış kullanıcılar için geçerlidir) CalJSettingsPage örneğini oluşturur. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, eklentinin API anahtarı ayarını değiştirmesine ve Shabbat önbelleğini temizlemesine, böylece eklentinin API entegrasyonunun kontrolünü etkili bir şekilde ele geçirmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| calj CalJ Shabbat Times | v ≤ 1.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.