CVE-2026-9016

WordPress üçün olan Debug Log Manager – Conveniently Monitor and Inspect Errors plagini 2.5.0 daxil olmaqla bütün versiyalarda loqlar üçün Yanlış Çıxış Neytrallaşdırılmasına (Improper Output Neutralization) qarşı həssasdır. Bu, `log_js_errors()` AJAX idarəçisinin `wp_ajax_nopriv_log_js_errors` vasitəsilə autentifikasiya olunmamış istifadəçilər üçün qeydiyyatdan keçirilməsi və yalnız JavaScript xətalarının loqlanması aktiv olduqda hər bir ön tərəf səhifəsinin HTML-də `wp_localize_script()` vasitəsilə açıq şəkildə paylaşılmış nonce ilə qorunması səbəbindən baş verir ki, bu da real avtorizasiya baryeri yaratmır. Bu, autentifikasiya olunmamış hücumçulara `message`, `script`, `lineNo`, `columnNo` və `pageUrl` sahələri üçün özləri tərəfindən idarə olunan dəyərləri təqdim etməklə saytın WordPress debug loquna ixtiyari saxtalaşdırılmış qeydlər yerləşdirməyə imkan verir. Bu isə xəta və insident qeydlərinin saxtalaşdırılmasını, zərərli fəaliyyətin uydurma loq küyü içində gizlədilməsini və triaj üçün loqa güvənən administratorların yanıldılmasını mümkün edir. Bu boşluq yalnız plaginin JavaScript xətalarını loqlama funksiyası aktiv olduqda istismar edilə bilər, çünki tələb olunan nonce yalnız həmin şərt altında səhifənin HTML-də dərc olunur.