- Son 7 gün
- CWE-862
CVE-2026-97353
News Kit Addons For Elementor eklentisinde abone yetkisiyle keyfi gönderi meta verisi güncelleme açığı
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
News Kit Addons For Elementor WordPress eklentisinin 1.4.7 sürümüne kadar olan sürümleri, kimlik doğrulamalı AJAX eylemlerinden birinde gönderi meta verilerini güncellemeden önce yetki veya sahiplik denetimi yapmıyor. Bu durum, abone düzeyi ve üzeri erişime sahip kullanıcıların, saldırganın seçtiği anahtarlar altında, diğer kullanıcılara ait olanlar dahil herhangi bir gönderiye keyfi meta veri yazmasına olanak tanıyor. Bu açık, korunan temel meta verilerin üzerine yazmak ve daha yüksek yetkili kullanıcılar tarafından oluşturulan içeriği değiştirmek için kullanılabilir.
Kaynaktaki açıklama (İngilizce)
The News Kit Addons For Elementor WordPress plugin through 1.4.7 does not perform capability or ownership checks before updating post metadata in one of its authenticated AJAX actions, allowing users with subscriber-level access and above to write arbitrary post meta, under attacker-chosen keys, to any post including those owned by other users. This can be used to overwrite protected core metadata and tamper with content created by higher-privileged users.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| News Kit Addons For Elementor | ≤ 1.4.7 | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/4114e6a4-d8ed-4456-a15f-4d47034ae75f İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.