CVE-2026-4665
Təsvir
WordPress üçün olan WP Carousel Free plagini, 2.7.10 daxil olmaqla bütün versiyalarda, düzgün hazırlanmış fancybox `data-caption` atributları vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) zəifliyinə malikdir. Bu, `fancybox-config.js` skriptinin jQuery selektoru qurmaq üçün karusel konteynerinin `id` atributunu təmizləmədən birbaşa DOM-dan oxuması səbəbindən baş verir. Kontribyutor (Contributor) səviyyəli istifadəçi, jQuery selektorları üçün keçərsiz simvollar ehtiva edən yanlış formatlı karusel konteyneri ID-si ilə HTML bloku yaratdıqda, xüsusi fancybox konfiqurasiyası JavaScript xətası verir və işə düşmür. Bu, paketdə gələn fancybox kitabxanasının (v3.5.7) standart başlıq emalına qayıtmasına səbəb olur ki, bu da `data-caption` atributunun məzmununu xam HTML kimi render edir. WordPress `wp_kses_post()` vasitəsilə `data-*` atributlarına icazə verdiyi üçün, Kontribyutor və daha yuxarı səviyyəli giriş hüququna malik autentifikasiya olunmuş hücumçuların səhifələrə ixtiyari veb skriptlər yerləşdirməsi mümkün olur; həmin skriptlər istifadəçi hazırlanmış karusel lightbox-unda şəklə kliklədikdə icra edilir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| shapedplugin Carousel, Slider, Photo Gallery with Lightbox, Video Slider, by WP Carousel | v ≤ 2.7.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.