- Yama var
- Son 7 gün
- CWE-89
CVE-2022-51021
NotificationX WordPress Eklentisinde Kimlik Doğrulamasız SQL Enjeksiyonu
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
NotificationX eklentisinin 2.0.0 sürümünden 2.3.12 sürümüne kadar olan WordPress sürümlerinde, kimlik doğrulaması gerektirmeyen bir SQL enjeksiyonu güvenlik açığı bulunmaktadır. Bu açık, uzak saldırganların /wp-json/notificationx/v1/notification/{id} uç noktasına dizi biçiminde bir 'id' parametresi göndererek veritabanı sorgularını manipüle etmesine olanak tanır. Saldırganlar, home_url fonksiyonunun md5 özetinden türetilen bir api_key ile birlikte id[1] parametresine, zamanlamaya dayalı SLEEP yükleri gibi hazırlanmış SQL ifadeleri ekleyebilir; bu girdi temizlenmeden Database::get_where_query fonksiyonuna iletilerek veritabanı içeriğinin çekilmesine yol açar. Bu istismara ait ilk kanıt, 2023-10-18 tarihinde Shadowserver Foundation tarafından gözlemlenmiştir.
Kaynaktaki açıklama (İngilizce)
NotificationX plugin for WordPress 2.0.0 before 2.3.12 contains an unauthenticated SQL injection vulnerability that allows remote attackers to manipulate database queries by supplying an array-form 'id' parameter to /wp-json/notificationx/v1/notification/{id}. Attackers can pass id[1] with crafted SQL, such as time-based SLEEP payloads, along with an api_key derived from md5(home_url()), which flows unsanitized into Database::get_where_query to extract database contents. Exploitation evidence was first observed by the Shadowserver Foundation on 2023-10-18.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WPDeveloper NotificationX | ≥ 2.0.0, < 2.3.12 | 2.3.12 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.