- Yama var
- Son 7 gün
- CWE-94
CVE-2026-113673
GeoDirectory Eklentisinde Yönetici Yetkisiyle Uzaktan Kod Çalıştırma Açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
GeoDirectory WordPress eklentisinin 2.8.194 sürümünden önceki sürümleri, yönetici tarafından tanımlanan metin içeriklerini oluşturulan bir PHP dosyasına yazmadan önce yeterince kaçışlamaz (escape). Bu durum, normalde kod çalıştıramayan çoklu site ağındaki bir alt site yöneticisi gibi yüksek yetkili kullanıcıların, kimliği doğrulanmamış herhangi bir ziyaretçinin tetikleyebildiği uzaktan kod çalıştırma (RCE) gerçekleştirmesine olanak tanır.
Kaynaktaki açıklama (İngilizce)
The GeoDirectory WordPress plugin before 2.8.194 does not properly escape administrator-defined text before writing it into a generated PHP file in its own folder, allowing high privilege users such as a subsite administrator on a multisite network, who cannot otherwise run code, to achieve Remote Code Execution that any unauthenticated visitor can trigger.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| GeoDirectory | < 2.8.194 | 2.8.194 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/7ef117ed-1fd6-48e6-b242-87a7b65d3477 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.