CVE-2026-107742
Təsvir
WordPress üçün nəzərdə tutulmuş 10Web Booster – Website speed optimization, Cache & Page Speed optimizer plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün formatlanmaması səbəbindən 2.34.8 versiyası daxil olmaqla bütün versiyalarda 'author' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Zəiflik ondan qaynaqlanır ki, ' src=' və hadisə idarəedici (event-handler) yükü ehtiva edən şərh müəllifinin adı dəyəri heç bir HTML teqi və ya dırnaq işarəsi ehtiva etmir, bu da onun WordPress nüvəsinin sanitize_text_field funksiyasından keçib olduğu kimi alt atributunun daxilinə yerləşməsinə şərait yaradır; daha sonra plaginin özünün str_replace funksiyası atribut kontekstindən çıxmağı təmin edən tək dırnağı əlavə edir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| 10web 10Web Booster – Website speed optimization, Cache & Page Speed optimizer | v ≤ 2.34.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.