CVE-2026-15604
Təsvir
WordPress üçün nəzərdə tutulmuş Toocheke Companion plagini, 2.10 daxil olmaqla daha aşağı versiyalarda 'series_bg_color' post meta sahəsi vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, toocheke_series_bg_color_save() funksiyasındakı yetərsiz giriş təmizlənməsi (hansı ki, xam $_POST dəyərini post meta-da saxlayır) və seriya admin sütununun render edilməsi zamanı yetərsiz çıxış əvəzləməsi (saxlanılan dəyərin esc_attr() olmadan stil atributuna birləşdirildiyi yer) səbəbindən baş verir. Bu, kontributor səviyyəsində və daha yuxarı girişi olan autentifikasiya olunmuş hücumçulara istənilən veb skriptlərini səhifələrə yerləşdirməyə imkan verir; həmin skriptlər administrator kimi bir istifadəçi admin panelindəki seriya siyahısı cədvəlinə daxil olduqda icra edilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| toocheke Toocheke Companion | v ≤ 2.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.