CVE-2026-7753
Açıklama
WordPress için geliştirilen Cost Calculator Builder eklentisi, 3.6.17 dahil tüm sürümlerde `cost-calculator-custom-export-run` AJAX işlemindeki (`CCBExportImport::export_calculators()` işleyicisi) eksik yetenek kontrolü nedeniyle hassas verilere yetkisiz erişime karşı savunmasızdır. İşleyici yalnızca bir nonce doğrulaması yapmaktadır ancak ilgili `ccb_export_nonce`, `admin_head` kısmına kancalanmış olan `ccb_add_admin_nonces` geri çağırma fonksiyonu tarafından her wp-admin sayfasında (Abone rolündekilerin erişebildiği `/wp-admin/profile.php` gibi sayfalar dahil) yayınlanmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların; saklanan Stripe gizli anahtarları, PayPal istemci sırları, Razorpay gizli anahtarları, webhook gizli anahtarları ve reCAPTCHA gizli anahtarları da dahil olmak üzere her hesaplayıcının tam yapılandırmasını dışa aktarmasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| stylemix Cost Calculator Builder | v ≤ 3.6.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.