CVE-2026-120548

Nome do Software Vulnerável e Versões Afetadas YML for Yandex Market versões anteriores a 5.10.1

Descrição Existe um problema onde invasores não autenticados podem extrair a chave de API do Yandex Market em texto simples de um comerciante. Isso ocorre por meio do parâmetro y4ym check action, que permite o acesso a um arquivo de log publicamente acessível localizado em wp-content/uploads/y4ym/yml-for-yandex-market.log. A exploração bem-sucedida concede controle total sobre o catálogo, preços e estoque do marketplace. Isso requer que o feed alvo tenha uma chave de API armazenada e que a opção y4ym keeplogs esteja habilitada.

Recomendações Atualize o YML for Yandex Market para a versão 5.10.1 ou posterior. Desative a opção y4ym keeplogs para evitar a criação do arquivo de log vulnerável.