CVE-2026-6454
Təsvir
WordPress üçün Firelight Lightbox plaqini 2.3.20 versiyası daxil olmaqla və ondan əvvəlki versiyalarda Saxlanılan DOM Saytlararası Skriptinq (XSS) zəifliyinə məruz qalır. Bu, inc/fancybox-2.php faylında yaradılan FancyBox V2 PDF beforeLoad JavaScript callback-i daxilində href atributunun dəyərinin kifayət qədər təmizlənməməsi ilə bağlıdır; burada this.href birbaşa HTML sətrinə ekranlaşdırılmadan sətir birləşdirilməsi ilə əlavə olunur və bu, entity ilə kodlanmış ikiqat dırnaq işarələri ehtiva edən saxlanılan href-in data atributundan çıxmasına və DOM-a ixtiyari hadisə idarəedicilərinin yeridilməsinə imkan verir. Bu, contributor səviyyəli girişə və daha yüksək imtiyazlara malik autentifikasiyadan keçmiş hücumçulara istifadəçi zərərli PDF keçidinə hər kliklədikdə icra olunan ixtiyari veb skriptləri səhifələrə yeritmək imkanı verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| firelightwp Firelight Lightbox | v ≤ 2.3.20 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.