- Yama var
- Son 7 gün
- CWE-98
CVE-2017-20289
Broadstreet Ad Widget WordPress Eklentisinde step Parametresi Üzerinden Yerel Dosya Ekleme Açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Broadstreet Ad Widget eklentisinin 2.2.0 ile 2.12.0 öncesi WordPress sürümleri, views/modal/index.php dosyasında require ifadesine temizlenmemiş girdi aktardığı için yerel dosya ekleme (local file inclusion) açığı içermektedir. Bu açık, kimliği doğrulanmış kullanıcıların saldırganın seçtiği PHP dosyalarını çalıştırmasına olanak tanır. Saldırganlar, 'step' parametresinde dizin geçiş dizileri ve isteğe bağlı olarak null byte karakteri kullanarak yerel dosyaları ekleyebilir ve PHP kodu çalıştırabilir. Bu açığın istismarına ait ilk kanıt, 2023-10-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
Broadstreet Ad Widget plugin for WordPress 2.2.0 before 2.12.0 contains a local file inclusion vulnerability that allows authenticated users to execute attacker-chosen PHP files by passing unsanitized input to require in views/modal/index.php. Attackers can supply directory traversal sequences in the 'step' parameter, optionally with a null byte, to include local files and execute PHP code. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Broadstreet Ad Widget | ≥ 2.2.0, < 2.12.0 | 2.12.0 |
Kaynaklar9 kaynak
- CVE.org kaydı
- NVD kaydı
- plugins.trac.wordpress.org/changeset/1628751/ad-widget Yama
- wpscan.com/…erability/caca21fe-56bf-4d4c-afc8-4a218e52f0a2 Üçüncü taraf
- vulncheck.com/…2.12.0-local-file-inclusion-via-step-parameter Üçüncü taraf
- packetstorm.news/files/id/144553 İstismar kodu ya da analiz
- cxsecurity.com/issue/WLB-2017100084 İstismar kodu ya da analiz
- github.com/…p/vulnerabilities/wordpress/ad-widget-lfi.yaml Diğer
- wordpress.org/plugins/ad-widget Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.