CVE-2026-0627
Təsvir
WordPress üçün AMP for WP plagini 1.1.10 daxil olmaqla bütün versiyalarda SVG fayllarının yüklənməsi vasitəsilə Stored Cross-Site Scripting zəifliyinə malikdir. Bu, SVG faylının məzmununun kifayət qədər təmizlənməməsi ilə bağlıdır; sistem yalnız `<script>` teqlərini silir, lakin hadisə idarəediciləri (onload, onerror, onmouseover), foreignObject elementləri və SVG animasiya atributları kimi digər XSS vektorlarına icazə verir. Bu, Müəllif (Author) səviyyəli və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara zərərli SVG faylları yükləmək yolu ilə ixtiyari veb skriptləri yerləşdirməyə imkan verir və həmin skriptlər istifadəçi yüklənmiş faylı hər dəfə görüntülədikdə icra olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| mohammed_kaludi AMP for WP – Accelerated Mobile Pages | v ≤ 1.1.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.