CVE-2026-4329
Təsvir
WordPress üçün olan Blackhole for Bad Bots plagini, 3.8 daxil olmaqla bütün versiyalarda User-Agent HTTP başlığı vasitəsilə Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, giriş məlumatlarının kifayət qədər təmizlənməməsi və çıxışın düzgün şəkildə filtirlənməməsi ilə bağlıdır. Plagin bot məlumatlarını tutarkən sanitize_text_field() funksiyasından istifadə edir (hansı ki, HTML teqlərini silir, lakin qoşa dırnaq kimi HTML entitilərini filtirləmir), daha sonra məlumatları update_option() vasitəsilə saxlayır. Administrator Bad Bots loq səhifəsinə baxdıqda, saxlanılan məlumatlar esc_attr() olmadan birbaşa HTML giriş dəyəri atributlarına (sətirlər 75-83) və esc_html() olmadan HTML span məzmununa ötürülür. Bu, autentifikasiya olunmamış hücumçulara, administrator Blackhole Bad Bots idarəetmə səhifəsinə baxdığı zaman icra olunan ixtiyari veb skriptlər yerləşdirməyə imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| specialk Blackhole for Bad Bots | v ≤ 3.8 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.