Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-22

CVE-2026-116617

Motors eklentisi (WordPress) - Kimlik doğrulamalı dosya silme açığı

stylemix Motors – Car Dealership & Classified Listings Plugin

Yüksek 8,1 CVSS 3.1
Yayımlandı
Güncellendi
5 Kas 2026
Açık yaşı
0 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, siteye kayıtlı herhangi bir üyenin diğer kullanıcılara ait görselleri silmesine olanak tanır. Sitenizde ilan ve bayi içerikleri görsel bağlıysa, veri kaybı ve müşteri güveninde zarar riski vardır. Eklentinin güncellenmesi öncelikli olarak planlanmalıdır.

ÖzetTürkçe

Motors – Car Dealership & Classified Listings eklentisinin 1.4.128 ve önceki sürümlerinde, stm_dealer_logo_path parametresi kullanıcı profili üzerinden alınıp yeterli sahiplik kontrolü yapılmadan kaydedilmektedir. Subscriber ve üzeri yetkiye sahip kimliği doğrulanmış bir saldırgan, bayi olma formu üzerinden bu yolu tetikleyerek uploads dizinindeki diğer kullanıcılara ait görselleri silebilir. Dosya uzantısı ve uploads dizini kontrolleri nedeniyle saldırı yüzeyi görsel dosyalarıyla sınırlıdır; wp-config.php gibi dosyalara erişilemez.

Saldırgan ne yapabilir?

Saldırgan, diğer kullanıcıların avatar, bayi logosu ve yüklenmiş medya dosyalarını silebilir; bu da içerik kaybına ve site bütünlüğünün bozulmasına yol açabilir.

Kaynaktaki açıklama (İngilizce)

The Motors – Car Dealership & Classified Listings Plugin plugin for WordPress is vulnerable to File Deletion in all versions up to, and including, 1.4.128 The vulnerability exists because stm_save_user_extra_fields(), hooked to personal_options_update, writes the attacker-controlled stm_dealer_logo_path parameter directly to user meta without an ownership check binding the submitted path to the submitting user — unlike the stm_payment_status and stm_lost_password_hash fields, this field is not gated by a manage_options or edit_users capability check. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete image files belonging to other users under wp-content/uploads — including other users' avatars, dealer logos, and uploaded media — by storing a crafted path via their own profile and then triggering unlink() through the become-dealer form on their author page. Note that the two path guards (stm_mvl_is_path_within_uploads and stm_mvl_is_allowed_image_file) do restrict the attack surface to files with an image extension that resolve within the uploads basedir; files outside that directory, such as wp-config.php or plugin PHP files, cannot be reached.

Ne yapmalı?

  1. Eklentiyi, açığın giderildiği bir sürüme güncelleyin; mevcut bilgiye göre 1.4.128 ve önceki tüm sürümler etkilenmektedir. Güncel sürümü WordPress eklenti yönetim ekranından veya resmi kaynaktan kontrol edin. Genel öneri
  2. Güncelleme yapılana kadar, kayıt olabilen veya düşük yetkili kullanıcı hesabı açılabilen kullanıcı kayıt özelliğini geçici olarak kapatın ve gereksiz hesapları gözden geçirin. Genel öneri
  3. Uploads dizinindeki dosyalarınız için düzenli yedek alın ki olası bir silme durumunda geri dönüş yapılabilsin. Genel öneri

Ek önlemler

  • Subscriber rolündeki kullanıcıların profil alanlarında beklenmeyen yol veya dosya adı içeren değerler girip girmediğini izleyin. Genel öneri
  • Uploads dizinindeki dosya silme olaylarını dosya bütünlüğü izleme araçlarıyla takip edin. Genel öneri
  • Kullanılmayan eklentileri kaldırın ve eklentileri düzenli olarak güncel tutun. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
stylemix Motors – Car Dealership & Classified Listings Plugin ≤ 1.4.128 –

Kaynaklar8 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.