Blocksy Companion WordPress eklentisinde kritik yetki yükseltme açığı
Yapay zeka üretimi11.10.2026
- CVE
- CVE-2026-107645
- Ciddiyet
- Kritik (CVSS 9.1)
- Firma / ürün
- - / -
Özet
Blocksy Companion eklentisinin 2.1.58 ve önceki sürümlerinde, yetkisiz kullanıcıların satıcı (vendor) hesabına yükselerek otomatik oturum açması mümkün.
Ayrıntılar
NVD kaydına göre Blocksy Companion eklentisi, 2.1.58 ve önceki sürümlerde bir yetki yükseltme açığı içeriyor. Eklentinin implement_user_registration() AJAX işleyicisi, Dokan eklentisinin satıcı kaydı için kullanılan nonce kontrolünü devre dışı bırakıyor ve saldırganın gönderdiği role değerine güveniyor. Bu durum, kimliği doğrulanmamış saldırganların Dokan satıcı hesabına yükselmesini ve otomatik olarak bu hesaba giriş yapmasını sağlıyor. Açık, normal bir müşterinin sahip olamayacağı yayınlama yetkileri de dahil olmak üzere geniş yetkiler kazandırıyor. CVSS puanı 9.1 olduğu için kritik olarak sınıflandırılmıştır.
Önerilen adımlar
Üreticinin güvenlik duyurularını yakından takip edin, güncelleme yayımlandığında hemen uygulayın ve ürüne erişimi mümkün olduğunca sınırlayın.