- Son 7 gün
- CWE-22
CVE-2019-25779
WooThemes Diarise'da download.php üzerinden yerel dosya ifşası
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
WooThemes Diarise 1.5.9 ve öncesi, kimlik doğrulaması yapılmamış saldırganların download.php dosyasındaki calendar parametresi aracılığıyla keyfi dosyaları okumasına izin veren bir dosya okuma güvenlik açığı içerir. Saldırganlar, /etc/passwd gibi hassas dosyaları ifşa etmek için calendar parametresine file:// şeması yollarıyla GET istekleri gönderebilir. Bu istismara dair kanıtlar ilk kez 2023-10-19 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
WooThemes Diarise through 1.5.9 contains a file read vulnerability that allows unauthenticated attackers to read arbitrary files through the calendar parameter of download.php. Attackers can send GET requests with file:// scheme paths to the calendar parameter to disclose sensitive files like /etc/passwd. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-19.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WooThemes Diarise | ≤ 1.5.9 | – |
Kaynaklar6 kaynak
- CVE.org kaydı
- NVD kaydı
- vulncheck.com/…e-1.5.9-local-file-disclosure-via-download-php Üçüncü taraf
- packetstorm.news/files/id/152773 İstismar kodu ya da analiz
- cxsecurity.com/issue/WLB-2019050123 İstismar kodu ya da analiz
- github.com/…lnerabilities/wordpress/diarise-theme-lfi.yaml Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.