CVE-2026-8198
Açıklama
WordPress için Logtivity eklentisinin Activity Logs, User Activity Tracking ve Multisite Activity Log bileşenleri, 3.3.6 sürümü dahil önceki sürümlerde Bilgi İfşasına yol açan Kimlik Doğrulama Atlatma zafiyetine sahiptir. Bu durum, verifyAuthorization metodundaki bir mantık hatasından kaynaklanmaktadır; Authorization başlığı içermeyen istekler Bearer token doğrulamasını atlayarak koşulsuz bir return true ifadesine ulaşmakta ve böylece tüm kimlik doğrulama kontrollerini devre dışı bırakmaktadır. Bu durum, kimliği doğrulanmamış saldırganların /wp-json/logtivity/v1/options REST API uç noktasına erişmesine ve Logtivity servisine yapılan API çağrılarında siteyi taklit etmek için kullanılabilecek logtivity_site_api_key dahil olmak üzere tüm eklenti yapılandırma seçeneklerini elde etmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| logtivity Activity Logs, User Activity Tracking, Multisite Activity Log from Logtivity | v ≤ 3.3.6 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.