CVE-2026-109990

WordPress üçün olan Flying Scripts: Delay JavaScript to Improve Site Speed & Performance plagini, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi səbəbindən 1.2.4 daxil olmaqla bütün versiyalarda 'comment' parametri vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, autentifikasiya olunmamış hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir və həmin skriptlər istifadəçi həmin səhifəyə daxil olduqda icra edilir. Eksployt WordPress nüvəsinin yadda saxlayarkən tətbiq etdiyi kses təmizləmə prosesini tamamilə yan keçir, çünki faydalı yük yalnız kses tərəfindən icazə verilən elementlərdən — <abbr title> atributu və <code> mətn məzmunundan — istifadə edir. XSS isə yadda saxlamadan sonra, plagiinin çıxış buferi yenidən yazıcısı proqnozlaşdırıla bilən, duzlanmamış (unsalted) ___noise___ yer tutucu açarları vasitəsilə qoşa dırnaq ehtiva edən <code> gövdəsini <abbr title> atributuna əvəzlədikdə ortaya çıxır.