CVE-2026-5229
Açıklama
WordPress için Form Notify eklentisi, 1.1.10 ve önceki sürümlerde Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum, eklentinin bir LINE OAuth girişinden sonra hangi WordPress hesabının kimliğinin doğrulanacağını belirlemek için kullanıcı kontrollü çerez verilerine güvenmesinden kaynaklanmaktadır. LINE bir e-posta adresi sağlamadığında (ki bu yaygın bir durumdur), eklenti, LINE hesabının söz konusu e-posta adresiyle ilişkili olduğunu doğrulamadan 'form_notify_line_email' çerezi değerini okumaya yönelmektedir. Bu durum, kimliği doğrulanmamış saldırganların kendi LINE hesaplarıyla bir LINE OAuth akışını tamamlarken hedef kurbanın e-posta adresini içeren kötü amaçlı bir çerez enjekte ederek, yönetici hesapları da dahil olmak üzere sitedeki herhangi bir kullanıcı hesabına erişim sağlamasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| m615926 Receive Notifications After Form Submitting – Form Notify for Any Forms | v ≤ 1.1.10 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.