CVE-2026-5523
Açıklama
WordPress için geliştirilen Divi Form Builder eklentisi, 5.1.8 ve önceki sürümlerde Eksik Yetkilendirme (Missing Authorization) zafiyetine sahiptir. Bu durum, update_user() fonksiyonunun, kimliği doğrulanmış kullanıcının ilgili kullanıcı hesabını düzenleme yetkisine sahip olduğunu doğrulamadan form gönderimlerinden bir kullanıcı kimliği (user ID) parametresi kabul etmesinden ve handle_register_submission() fonksiyonunun hedef kullanıcı için izinleri doğrulamak yerine yalnızca herhangi bir kullanıcının oturum açıp açmadığını kontrol etmesinden kaynaklanmaktadır. Bu durum, abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, yöneticiler dahil herhangi bir kullanıcı hesabının e-posta adresini ve şifresini değiştirmesini mümkün kılarak hesapların tamamen ele geçirilmesine yol açabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Divi Engine Divi Form Builder | v ≤ 5.1.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.