CVE-2026-100196
Təsvir
WordPress üçün nəzərdə tutulmuş The LazyLoad Plugin – Lazy Load Images, Videos, and Iframes plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 2.4.0 daxil olmaqla bütün versiyalarda 'comment_content (rendered inline into the page HTML)' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, autentifikasiya olunmamış hücumçulara istifadəçi həmin səhifəyə daxil olduqda icra olunacaq ixtiyari veb skriptlərini səhifələrə yerləşdirməyə imkan verir. WordPress nüvəsinin wp_kses_data icazə siyahısı, yalnız icazə verilmiş teqləri və atributları istifadə etdiyi üçün yadda saxlanılma zamanı hazırlanmış zərərli kodu silmir; hadisə idarəedicisi (event handler) xarab olmuş atribut sahəsi daxilində gizlədilir və yalnız plaginin render zamanı tətbiq etdiyi str_replace transformasiyası ilə real DOM atributuna çevrilir. Əlavə olaraq, zərərli kod digər ziyarətçilərə təqdim edilməzdən əvvəl sayt administratoru tərəfindən hazırlanmış şərh təsdiqlənməlidir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wp_media LazyLoad Plugin – Lazy Load Images, Videos, and Iframes | v ≤ 2.4.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.