- Yama var
- Son 7 gün
- CWE-22
CVE-2026-111978
GiveWP Eklentisinde Yönetici Rolü Üzerinden Dizin Geçişi (Path Traversal) Açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
GiveWP WordPress eklentisi, 4.19.0.1 sürümünden önce, kullanıcı tarafından sağlanan bir dosya adını diskten okumadan önce düzgün biçimde doğrulamıyor. Bu durum, özel bir rolde yüksek ayrıcalıklara sahip kullanıcıların dizin geçişi (path traversal) gerçekleştirmesine olanak tanıyor; böylece sunucuda herhangi bir yerdeki JSON ayrıştırılabilir dosyaların içeriği ifşa edilebiliyor ve GiveWP WordPress eklentisi 4.19.0.1 sürümünden önce olan eklentinin saklanan yapılandırması üzerine yazılabiliyor.
Kaynaktaki açıklama (İngilizce)
The GiveWP WordPress plugin before 4.19.0.1 does not properly validate a user-supplied filename before reading it from disk, allowing users with a high-privilege custom role to perform path traversal, disclose the contents of JSON-parseable files anywhere on the server, and overwrite the GiveWP WordPress plugin before 4.19.0.1's stored configuration.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GiveWP | < 4.19.0.1 | 4.19.0.1 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/ab77a13e-491e-47a9-a50d-839a8ad341aa İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.