CVE-2026-8832
Açıklama
WordPress için geliştirilen WPCode - Insert Headers and Footers + Custom Code Snippets - WordPress Code Manager eklentisinin 2.3.5 ve önceki sürümleri Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, wpcode_register_post_type() fonksiyonunda 'wpcode' özel yazı tipinin herhangi bir özel capability_type veya yetenek kısıtlaması olmadan kaydedilmesinden kaynaklanmakta ve WordPress çekirdeğinin, XML-RPC dahil tüm oluşturma yolları için standart yazı yeteneklerine geri dönmesine izin vermektedir. Bu durum; yazar seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, XML-RPC wp.newPost aracılığıyla yürütülebilir PHP snippet yazıları oluşturup yayınlamasını mümkün kılmaktadır; bu yazılar daha sonra [wpcode] kısa kodu ile işlendiğinde run_eval() fonksiyonundaki eval() üzerinden sunucu tarafında çalıştırılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| smub WPCode – Insert Headers and Footers + Custom Code Snippets – WordPress Code Manager | v ≤ 2.3.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.