CVE-2026-7249
Açıklama
WordPress için Location Weather eklentisi, 3.0.2 sürümü dahil tüm önceki sürümlerde `splw_update_block_options()` ve `lwp_clean_weather_transients()` fonksiyonlarındaki yetenek kontrollerinin eksikliği nedeniyle verilerin yetkisiz şekilde değiştirilmesine karşı savunmasızdır. Bu durum, Katılımcı (Contributor) seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların tüm hava durumu bloklarını devre dışı bırakmasını ve tüm hava durumu önbellek geçici verilerini temizlemesini mümkün kılmaktadır. Bu işlemler için gereken nonce, `init` kancası üzerindeki `wp_localize_script()` aracılığıyla tüm kimliği doğrulanmış kullanıcılara ifşa edilmektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shapedplugin Location Weather – WordPress Weather Forecast, AQI, Temperature and Weather Widget | v ≤ 3.0.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.