CVE-2026-5524
Açıklama
WordPress için geliştirilen Divi Form Builder eklentisi, 5.1.8 sürümü dahil tüm önceki sürümlerde Uzaktan Kod Çalıştırmaya yol açan Keyfi Dosya Yükleme zafiyetine sahiptir. Bu durum, acceptFileTypes POST parametresinden gelen kullanıcı girdisinin, yüklenen dosyaları doğrulamak için kullanılan bir düzenli ifadeye doğrudan yerleştirildiği do_image_upload() fonksiyonundaki yetersiz dosya uzantısı doğrulamasından kaynaklanmaktadır. Saldırganlar, yalnızca .php dosyalarını engelleyen .htaccess korumasını atlatmak için .phtml, .phar, .php5 veya .php7 gibi PHP tarafından yürütülebilir uzantılar belirtebilirler. Ayrıca, Nginx tabanlı sunucularda Nginx .htaccess dosyalarını işlemediği için .htaccess koruması tamamen etkisiz kalmaktadır. Bu durum, kimliği doğrulanmamış saldırganların (form içeren herhangi bir genel sayfadan nonce elde edebilen), herkese açık /wp-content/uploads/de_fb_uploads/ dizinine yürütülebilir PHP dosyaları yüklemesine ve yüklenen dosyaya HTTP üzerinden erişerek Uzaktan Kod Çalıştırmasını gerçekleştirmesine olanak tanır. Zafiyet, 5.1.3 sürümünde kısmen giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Divi Engine Divi Form Builder | v ≤ 5.1.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.