CVE-2026-88974
Açıklama
WPGraphQL, WordPress siteleri için bir GraphQL API sağlar. 2.22.2 sürümünden önce, src/Mutation/PostObjectUpdate.php dosyasındaki updatePost mutasyonu yalnızca koleksiyon düzeyindeki edit_posts yetkisini ve yazı yazarını kontrol etmekte; ancak nesne düzeyindeki edit_post yetkisini zorunlu kılmamakta veya genel durum geçişleri için publish_posts yetkisi gerektirmemektedir. Bu nedenle, kimliği doğrulanmış bir Contributor, editöryal onay almadan kendi taslağını yayınlayabilir veya edit_published_posts yetkisine sahip olmasa bile daha önce yayınladığı yazısını değiştirebilir; diğer yazarlara ait yazılar ise korunmaya devam eder. Bu sorun 2.22.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wp-graphql/wp-graphqlPackagist | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.