CVE-2026-9626
Təsvir
WordPress üçün JSON API User plaqini 4.1.0 versiyasına qədər və o cümlədən post_comment API endpoint-inin 'content' parametri vasitəsilə saxlanılan saytlararası skriptinq (XSS) zəifliyinə məruz qalır. Bu, post_comment() funksiyasında kifayət qədər giriş təmizlənməsinin olmaması səbəbindən baş verir: funksiya hücumçu tərəfindən idarə olunan comment_content dəyərini heç bir HTML təmizlənməsi tətbiq etmədən birbaşa wp_insert_comment() funksiyasına ötürür və əlavə olaraq çağırana comment_approved=1 təyin edərək şərhi özü təsdiqləməyə və moderasiyadan yan keçməyə imkan verir. Bu, abunəçi səviyyəli və daha yüksək girişi olan autentifikasiyadan keçmiş hücumçulara istənilən veb skriptləri inyeksiya etməyə imkan verir ki, həmin skriptlər istifadəçi inyeksiya edilmiş səhifəyə daxil olduqda icra olunur.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parorrey JSON API User | v ≤ 4.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.