CVE-2026-12938
Təsvir
WordPress üçün Newsletters Lite plaqini 4.15 versiyası daxil olmaqla və ondan əvvəlki versiyalarda [newsletters_post] qısa kodunun 'target' atributu vasitəsilə saxlanılan saytlararası skriptinq (XSS) zəifliyinə malikdir. Bu, posts_single() funksiyasında kifayət qədər giriş təmizlənməsi və çıxışın ekranlaşdırılması olmadığına görə baş verir; həmin funksiya hücumçu tərəfindən idarə olunan 'target' atributunu qlobal $wpml_target dəyişəninə ötürür, shortcode_posts() funksiyasının 'post_thumbnail' emal edicisi isə $wpml_target dəyərini esc_attr() istifadə etmədən target="..." HTML atributuna birləşdirir. Bu, Contributor səviyyəli və daha yüksək girişi olan autentifikasiya olunmuş hücumçulara səhifələrə ixtiyari veb skriptlər yeritməyə imkan verir və həmin skriptlər istifadəçi yeridilmiş səhifəyə daxil olduqda icra olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| contrid Newsletters | v ≤ 4.15 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.