CVE-2026-6639
Açıklama
WordPress için AIWU tarafından geliştirilen AI Chatbot & Workflow Automation eklentisi, 1.4.6 dahil olmak üzere tüm sürümlerinde Hassas Bilgi İfşasına karşı savunmasızdır. Bunun nedeni, `modules/workspace/controller.php` dosyasındaki `getCurrentTaskResults()` metodunun kimlik doğrulama veya yetkilendirme kontrolleri olmadan erişilebilir olmasıdır. Metot, workspace denetleyicisinin `getNoncedMethods()` dizisinde yer almamaktadır, temel `getPermissions()` boş bir dizi döndürmektedir ve tüm AJAX eylemleri `wp_ajax_nopriv_` kancalarıyla (`classes/frame.php:282`) kaydedilmektedir. Görevler Bulk Post Generator gibi özellikler aracılığıyla oluşturulduğunda, görev parametreleri — düz metin olarak OpenAI API anahtarı, AI istemleri, anahtar sözcükler ve tam AI model yapılandırması dahil — veritabanında saklanmakta ve JSON yanıtında döndürülmektedir. Bu, kimlik doğrulaması yapılmamış saldırganların sıralı görev kimliklerini numaralandırmasını ve API anahtarları dahil hassas yapılandırma verilerini almasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wupsales AI Copilot – Content Generator | v ≤ 1.4.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.