CVE-2026-15790
Təsvir
WordPress üçün Youtube Showcase plagini 4.0.4 daxil olmaqla daha aşağı versiyalarda 'emd_mb_meta' shortcode vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, shortcode-un şəkil sahəsi tərəfindən istinad edilən qoşma başlıqlarının kifayət qədər təmizlənməməsi və çıxışın filtirlənməməsi səbəbindən baş verir: EMD_MB_Helper::image_info() funksiyası qoşmanın xam post_title dəyərini qaytarır və EMD_MB_Helper::shortcode() funksiyası onu esc_attr() olmadan sprintf() vasitəsilə title="%s" HTML atributlarına yerləşdirir. Bu, müəllif səviyyəsində və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara (qoşmanı yaratmaq üçün upload_files, shortcode-u yerləşdirmək üçün edit_posts/publish_posts imkanları tələb olunur) səhifələrə ixtiyari veb skriptlər yerləşdirməyə imkan verir və bu skriptlər hər hansı bir istifadəçi həmin səhifəyə daxil olduqda icra edilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| emarket-design Video Gallery – YouTube Gallery, Playlist & Video Grid | v ≤ 4.0.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.