- Yama var
- Son 7 gün
- CWE-22
CVE-2012-20002
TinyMCE Thumbnail Gallery WordPress Eklentisinde Yol Geçişi Açığı
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
WordPress için geliştirilen TinyMCE Thumbnail Gallery eklentisinin 1.1.0 sürümünden önceki sürümleri, yol geçişi (path traversal) açığı içermektedir. Bu açık, kimlik doğrulaması yapılmadan saldırganların href parametresi üzerinden keyfi dosyaları okumasına olanak tanır. Saldırganlar, /php/download-image.php adresine ../../../../wp-config.php gibi dizin geçiş dizileri içeren GET istekleri göndererek veritabanı kimlik bilgilerini ve sistem dosyalarını elde edebilir. Bu açığın sömürüldüğüne dair ilk kanıt, Shadowserver Foundation tarafından 2023-10-19 tarihinde gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
TinyMCE Thumbnail Gallery plugin for WordPress before 1.1.0 contains a path traversal vulnerability that allows unauthenticated attackers to read arbitrary files via the href parameter. Attackers can send GET requests to /php/download-image.php with traversal sequences like ../../../../wp-config.php to retrieve database credentials and system files. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| James Charlesworth TinyMCE Thumbnail Gallery | ≥ 0.10, < 1.1.0 | 1.1.0 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/4a49b023-c1c9-4cc4-a2fd-af5f911bb400 Üçüncü taraf
- vulncheck.com/…in-1.1.0-path-traversal-via-download-image-php Üçüncü taraf
- packetstorm.news/files/id/113417 İstismar kodu ya da analiz
- exploit-db.com/exploits/19022 İstismar kodu ya da analiz
- github.com/…/vulnerabilities/wordpress/wp-tinymce-lfi.yaml Diğer
- wordpress.org/plugins/tinymce-thumbnail-gallery Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.