CVE-2026-7635
Açıklama
WordPress için geliştirilen coreActivity: Activity Logging eklentisinin 3.0 sürümü dahil tüm önceki sürümleri, PHP Object Injection zafiyetine sahiptir. Bu durum, eklentinin User-Agent HTTP başlığındaki PHP serileştirme sözdizimini logmeta tablosuna kaydetmeden önce doğrulamaması veya temizlememesi ve ardından query_metas() içindeki her bir meta_value değeri üzerinde, verilerin orijinal olarak uygulama tarafından serileştirildiğini doğrulamadan maybe_unserialize() fonksiyonunu çağırmasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların herhangi bir günlüğe kaydedilen olay sırasında (başarısız bir giriş denemesi gibi) User-Agent başlığı aracılığıyla özel olarak hazırlanmış bir PHP serileştirilmiş yük enjekte etmesini mümkün kılar; bu yük, bir yönetici Günlükler sayfasını görüntülediğinde serisizleştirilir ve DeviceDetector::setUserAgent() fonksiyonuna iletilerek, yöneticinin Günlükler sayfasına erişimini tamamen engelleyen kalıcı bir Hizmet Reddi (DoS) durumu oluşturan kritik bir Fatal TypeError tetikler.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gdragon coreActivity: Activity Logging for WordPress | v ≤ 3.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.