CVE-2026-4275
Açıklama
WordPress için geliştirilen Divi Torque Lite – Divi Theme, Divi Builder & Extra Theme eklentisi, 4.2.3 sürümü dahil tüm önceki sürümlerde Siteler Arası İstek Sahteciliği (CSRF) zafiyetine sahiptir. Bu durum, /install_plugin ve /activate_plugin REST API uç noktaları için permission_callback olarak '__return_true' kullanılması nedeniyle oluşmakta ve WordPress'in yerleşik REST API nonce doğrulamasını atlatmaktadır. Uç nokta geri çağırmaları dahili current_user_can() kontrolleri içerse de, nonce doğrulamasının eksikliği, oturum açmış bir yöneticinin tarayıcısından gelen sahte bir siteler arası isteğin, yöneticinin oturum çerezleri aracılığıyla yetenek kontrolünü geçeceği anlamına gelir. Bu durum, kimlik doğrulaması yapmamış saldırganların WordPress üzerinden rastgele eklentiler yüklemesini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| badhonrocks Divi Torque Lite – Divi Modules for the Divi Builder & Theme | v ≤ 4.2.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.