CVE-2026-4336

WordPress üçün olan Ultimate FAQ Accordion plagini 2.4.7 versiyası daxil olmaqla bütün versiyalarda FAQ məzmunu vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, set_display_variables() funksiyasının (View.FAQ.class.php, sətir 746) render prosesi zamanı post_content üzərində html_entity_decode() funksiyasını çağırmasından qaynaqlanır ki, bu da HTML entity-kodlaşdırılmış payload-ları yenidən icra edilə bilən HTML-ə çevirir. Eyni zamanda, faq-answer.php şablonunda çıxışın kifayət qədər təmizlənməməsi və dekodlaşdırılmış məzmunun wp_kses_post() və ya hər hansı digər sanitasiya olmadan ekrana çıxarılması bu problemi gücləndirir. ufaq xüsusi post tipi 'show_in_rest' => true parametri ilə qeydiyyatdan keçib və standart olaraq 'post' capability_type istifadə edir, bu da Müəllif (Author) səviyyəli istifadəçilərə REST API vasitəsilə FAQ-lar yaratmağa və dərc etməyə imkan verir. Müəllif səviyyəli istifadəçi entity-kodlaşdırılmış zərərli HTML kodu (məsələn, <img src=x onerror=alert()>) göndərə bilər ki, bu da yaddaşa yazılma zamanı WordPress-in kses sanitasiyasını yan keçir (çünki kses entity-ləri teqlər kimi deyil, sadə mətn kimi görür), lakin render zamanı html_entity_decode() tərəfindən yenidən icra edilə bilən HTML-ə çevrilir. Bu, Müəllif və daha yüksək səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçulara FAQ səhifələrinə ixtiyari veb skriptlər yerləşdirməyə imkan verir; həmin skriptlər istifadəçi birbaşa və ya [ultimate-faqs] shortcode-u vasitəsilə zərərli FAQ-a daxil olduqda icra edilir.