CVE-2026-15010
Təsvir
WordPress üçün bbp Style Pack plaqini 6.4.5 versiyası da daxil olmaqla, Topic Form Additional Fields funksiyası vasitəsilə Saxlanılan Saytlararası Skriptinq (XSS) zəifliyinə məruz qalır. Bu, bsp_topic_fields_form_save() funksiyasında kifayət qədər giriş təmizlənməsinin olmaması (hansı ki, $_POST['bsp_topic_fields_label{n}'] dəyərini heç bir filtrləmə olmadan update_post_meta() vasitəsilə birbaşa post meta-ya yazır) və bsp_topic_content_append_topic_fields() funksiyasında çıxışın ekranlaşdırılmasının olmaması (hansı ki, saxlanılan meta dəyərini HTML <span> elementinə birləşdirir və esc_html() olmadan apply_filters/echo vasitəsilə çıxarır) səbəbindən baş verir. Bu, Subscriber səviyyəli və daha yüksək icazələrə malik autentifikasiyadan keçmiş hücumçulara (bbPress mövzu yaratma imtiyazları olan) istifadəçinin, o cümlədən autentifikasiyadan keçməmiş ziyarətçilərin, inyeksiya edilmiş səhifəyə daxil olduqda icra olunacaq ixtiyari veb skriptləri səhifələrə yeritməsinə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| robin-w bbp style pack | v ≤ 6.4.5 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.