CVE-2026-13423
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 1.0%
- CWE
- CWE-94
- KEV Durumu
- Hayır
Yayım tarihi: 29 Temmuz 2026
Streamit WordPress temasının 4.5.2 sürümünden önceki sürümleri, kimlik doğrulaması veya nonce doğrulaması yapmadan, bir saldırgan tarafından sağlanan PHP işlevini bir saldırgan tarafından sağlanan argüman dizisiyle çağıran kimlik doğrulaması yapılmayan bir AJAX rotasına sahiptir. Bu, kimlik doğrulaması yapılmayan saldırganların keyfi işlevleri çağırmasına (örneğin, bir yönetici hesabı oluşturmak için) olanak tanır ve bu da yetki yükselmesine ve uzaktan kod çalıştırılmasına yol açar.
Orijinal açıklama (İngilizce)
The Streamit WordPress theme before 4.5.2 does not perform any authorization or nonce verification on one of its unauthenticated AJAX routes, which invokes an attacker-supplied PHP function with an attacker-supplied argument array, allowing unauthenticated attackers to call arbitrary functions (for example to create an administrator account), leading to privilege escalation and remote code execution.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.