CVE-2026-96752
Təsvir
WordPress üçün Zero Spam plugini, kifayət etməyən giriş təmizlənməsi və çıxışın filtirlənməməsi səbəbindən bütün versiyalarda (5.7.10 daxil olmaqla) Contact Form 7 inteqrasiyası vasitəsilə İç İçə Keçmiş POST Massiv Açarları üzərindən Saxlanılan Saytlararası Skriptinqə (Stored XSS) qarşı həssasdır. Bu, autentifikasiya olunmamış hücumçulara istifadəçi həmin səhifəyə daxil olduqda icra olunacaq ixtiyari veb skriptlərini səhifələrə yerləşdirməyə imkan verir. Zərərli kod, ixtiyari HTML və ya JavaScript ehtiva edən iç-içə POST massiv açarı ilə Contact Form 7 sorğusunun göndərilməsi yolu ilə ötürülür — PHP sahə adını iç-içə massiv açarına çevirir və zerospam_david_walsh_key sahəsinin olmaması səbəbindən Zero Spam müraciəti spam kimi qeyd etdikdə bu məlumat olduğu kimi zerospam_log.submission_data sütununda saxlanılır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| bmarshall511 Zero Spam for WordPress | v ≤ 5.7.10 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.