Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-22

CVE-2026-104746

Motors eklentisi: Abone yetkisiyle keyfi dosya silme zafiyeti (WordPress)

stylemix Motors – Car Dealership & Classified Listings Plugin

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
7 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu zafiyet, sitenizde kayıtlı herhangi bir kullanıcının dosyaları silebilmesine olanak tanır ve siteyi kısmen veya tamamen işlevsiz hale getirebilir. Kullanımı kolay olduğu için önceliklendirilerek kısa sürede güncelleme yapılması önerilir.

ÖzetTürkçe

Motors – Car Dealership & Classified Listings eklentisinin 1.4.125 dahil önceki tüm sürümlerinde, stm_listings_ajax_save_user_data fonksiyonundaki yetersiz dosya yolu doğrulaması nedeniyle keyfi dosya silme zafiyeti bulunmaktadır. Abone (Subscriber) veya üstü yetkiye sahip kimliği doğrulanmış bir saldırgan, sunucudaki dosyaları silebilir. Silme işlemi wp-content/uploads dizini ile sınırlandırılmıştır, ancak sayfalarda yayınlanan AJAX nonce değeri ve kullanıcının kendi hesabında değiştirilebilen stm_user_avatar_path meta alanı saldırıyı kolaylaştırmaktadır.

Saldırgan ne yapabilir?

Saldırgan, yetkili dizin içindeki dosyaları silerek veri kaybına ve hizmet kesintisine yol açabilir. Kritik bir dosyanın silinmesi, koşullara bağlı olarak uzaktan kod çalıştırmaya zemin hazırlayabilir.

Kaynaktaki açıklama (İngilizce)

The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the stm_listings_ajax_save_user_data function in all versions up to, and including, 1.4.125 This makes it possible for authenticated attackers, with subscriber-level access and above, to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). Although deletion is bounded to wp-content/uploads (preventing removal of wp-config.php), any authenticated Subscriber can trivially exploit this because the required AJAX nonce is printed on every front-end page and the handler's stm_user_avatar_path meta is writable by any logged-in user against their own account.

Ne yapmalı?

  1. Motors eklentisini 1.4.125 sürümünün üzerindeki, zafiyeti gideren bir sürüme güncelleyin. Güncelleme yayınlanana kadar eklentinin son durumunu satıcı kaynaklarından kontrol edin. Genel öneri
  2. Güncelleme yapılamıyorsa, yeni kayıt ve kullanıcı profili düzenleme yetkilerini geçici olarak kısıtlayın ve abone rolündeki kullanıcıların şüpheli hesap durumlarını gözden geçirin. Genel öneri
  3. Sunucudaki yedeklerinizi kontrol edin ve önemli dosyaların (özellikle yapılandırma dosyalarının) düzenli olarak yedeklendiğinden emin olun. Genel öneri

Ek önlemler

  • Kullanıcı profil meta alanlarındaki değişiklikleri ve beklenmedik dosya silme işlemlerini sunucu günlüklerinden izleyin. Genel öneri
  • Gereksiz kullanıcı kayıtlarını ve düşük yetkili hesapları düzenli olarak denetleyin. Genel öneri
  • Dosya sistemi izinlerini, web sunucusunun yalnızca gerekli dizinlere yazabilecek şekilde sınırlayın. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
stylemix Motors – Car Dealership & Classified Listings Plugin ≤ 1.4.125 –

Kaynaklar10 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.