CVE-2026-6895
Açıklama
WordPress için geliştirilen WishList Member eklentisinin 3.30.1 ve önceki sürümleri, Hassas Bilgi İfşası ve Yetki Yükseltmeye yol açan Eksik Yetkilendirme zafiyetine sahiptir. Bu durum, 'export_settings' fonksiyonundaki yetenek kontrollerinin eksikliğinden kaynaklanmaktadır. Söz konusu fonksiyon, AJAX JSON yanıtında REST API Gizli Anahtarını saldırgana döndürmektedir. Bu anahtarı ele geçiren bir saldırgan, WishList Member API'sine kimlik doğrulaması yapabilir, yönetici WordPress rolüne atanmış yeni bir üyelik seviyesi oluşturabilir ve rastgele bir yönetici düzeyinde kullanıcı hesabı kaydederek sitenin tamamen ele geçirilmesine neden olabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Wishlist Member Wishlist Member | v ≤ 3.30.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.