CVE-2026-2300
Təsvir
WordPress üçün olan BJ Lazy Load plagini 1.0.9 daxil olmaqla bütün versiyalarda `filter_images()` funksiyası vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, `src` atributlarını əvəz edərkən HTML atribut sərhədlərini düzgün idarə etməyən reqeks əsaslı HTML emalının (`preg_replace`) istifadəsi ilə bağlıdır və bu, `class` atributunun dəyəri daxilində hazırlanmış məzmunun emaldan sonra real DOM atributlarına çevrilməsinə şərait yaradır. Bu, Kontribyutor (Contributor) və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara, istifadəçi həmin səhifəyə daxil olduqda icra olunacaq ixtiyari veb skriptləri səhifələrə yerləşdirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| bjornjohansen BJ Lazy Load | v ≤ 1.0.9 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.