CVE-2026-6427

WordPress üçün olan a3 Lazy Load plagini 2.7.6 daxil olmaqla bütün versiyalarda Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Bu, _filter_videos() metodundakı regex xətası səbəbindən baş verir ki, bu da xüsusi hazırlanmış <video> elementlərini emal edərkən HTML atributlarının dırnaq işarələrini pozur və admin/views/form-data.php şablonunda çıxışın filtrlənməməsi ilə birləşir. Kontribyutor (Contributor) səviyyəli girişə malik autentifikasiya olunmuş hücumçu, src atributu daxilində gömülmüş class=" alt sətiri olan xüsusi <video> teqi yerləşdirə bilər; bu, plagininin klas-əvəzetmə regex-ini aldadaraq atribut dəyərini bağlayan dırnaq işarəsinin udulmasına səbəb olur. Bu, HTML5 parser-inin dırnaq sərhədini sürüşdürür və hücumçunun nəzarət etdiyi mətni dırnaq arasındakı atribut dəyərindən müstəqil hadisə-idarəetmə (event-handler) atributlarına (autofocus, onfocus) çevirir. İnjeksiya edilmiş skript, həmin yazını görən istənilən istifadəçinin (o cümlədən administratorların) brauzerində icra olunur.