CVE-2026-12561

WordPress üçün olan tagDiv Composer plagini 5.4.5 daxil olmaqla bütün versiyalarda vc_raw_html shortcode vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, vc_raw_html::render() metodunda giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə escape edilməməsi səbəbindən baş verir; həmin metod shortcode məzmununu base64 formatından dekod edir (strip_tags() funksiyasından sonra, lakin kodlaşdırılmış fayl yadda saxlanarkən heç bir teq ehtiva etmədiyi üçün bu filtr yan keçilir) və nəticəni birbaşa səhifənin HTML-nə əlavə edir. WordPress-in yadda saxlama zamanı istifadə etdiyi wp_kses_post() filtri yalnız adi shortcode mötərizələri daxilindəki inert base64 mətnini gördüyü və onu dekod etmədiyi üçün təhlükəli teqlər post_content daxilində qalır və render zamanı escape edilmədən ötürülür. Bu, Kontribyutor (Contributor) və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptləri yerləşdirməyə imkan verir və bu skriptlər hər hansı istifadəçi həmin səhifəyə daxil olduqda (məsələn, Redaktor və ya Administrator gözləyən yazını ön baxışda açdıqda) icra edilir.