PT-2026-139243
CVE-2026-120548
·
تاريخ النشر
2026-11-06
·
تاريخ التحديث
2026-11-07
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
YML for Yandex Market الإصدارات السابقة لـ 5.10.1
الوصف
توجد ثغرة تسمح للمهاجمين غير المصرح لهم باستخراج مفتاح API الخاص بـ Yandex Market لنص صريح من التاجر. يحدث هذا عبر المعلمة
y4ym check action التي تتيح الوصول إلى ملف سجل متاح للعموم في المسار wp-content/uploads/y4ym/yml-for-yandex-market.log. تمنح عملية الاستغلال الناجحة تحكماً كاملاً في كتالوج المتجر والأسعار والمخزون. يتطلب ذلك وجود مفتاح API مخزن في الخلاصة المستهدفة وتفعيل خيار y4ym keeplogs.التوصيات
تحديث YML for Yandex Market إلى الإصدار 5.10.1 أو أحدث.
تعطيل خيار
y4ym keeplogs لمنع إنشاء ملف السجل المصاب. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾